Un attacco informatico notturno ha colpito OpenCode, l’agente di coding basato su intelligenza artificiale che tra gli sviluppatori si sta ritagliando spazio come alternativa a Claude Code e Cursor. Come annunciato dall’azienda sabato, i pirati informatici sono penetrati in un sistema datato durante la notte, coinvolgendo il 1,4% degli utenti di OpenCode Console, la piattaforma online dove alcuni clienti conservano le chiavi API — le password digitali che servono ad accedere ai servizi AI.
La notizia è arrivata tramite un post su X: “Abbiamo subito una violazione di sicurezza la scorsa notte legata a un distillation attack su larga scala che ha colpito l’1,4% degli utenti di OpenCode Console. Li abbiamo notificati tutti stamattina via email.” Chi non ha ricevuto alcuna email, ha precisato l’azienda, non è interessato dall’incidente. L’azienda non ha però spiegato in che modo si sia concretizzato il distillation attack: in generale, chiavi API sottratte possono servire a utenti di Paesi con accesso limitato ai modelli americani per generare il grosso volume di output richiesto da quel processo. Alcuni scettici giudicano però questa lettura forzata: per loro si tratterebbe di una violazione tout court, il cui uso per la distillazione resta da dimostrare.
Già in notturna gli sviluppatori avevano cominciato a pubblicare su Reddit e X segnalazioni di spesa e addebiti mai autorizzati. “Ho visto scattare tutti gli avvisi di spesa di OpenAI, Anthropic e Google AI prima di andare a dormire, chiedendomi cosa stesse succedendo”, ha raccontato uno di loro. Altri utenti hanno parlato di centinaia di dollari scalati dai singoli account, con alcuni casi che superano i 1.000 dollari.
Anthropic e Google hanno disattivato le chiavi API che ritenevano compromesse, mentre OpenAI ha comunicato di aver collaborato con OpenCode per ripristinare l’accesso e rimborsare i clienti API dei crediti consumati nell’attacco. OpenCode ha aggiunto che i rimborsi per gli addebiti non autorizzati sono in corso.
Le chiavi finite in mano agli attaccanti riguardavano soltanto Console, dove alcuni utenti le tenevano nei propri workspace: l’app open-source e lo strumento da riga di comando, ha chiarito il co-fondatore Dax Raad, sono rimasti fuori dalla violazione. “Notate che si tratta di OpenCode Console, non di OpenCode stesso, quelle chiavi non arrivano mai a noi”, ha scritto su X.
La difesa ostacolata dai filtri di sicurezza
Mentre utenti e provider si muovevano per disabilitare le chiavi esposte, il team di OpenCode restava sotto assedio. Raad ha raccontato che per 48 ore gli attaccanti hanno tentato di forzare i sistemi senza sosta, costringendo il gruppo a tenere agenti difensivi AI attivi 24 ore su 24. I modelli AI impiegati per l’analisi hanno dato una mano per un certo periodo, ma hanno cominciato a rifiutarsi di lavorare quando il codice malevolo da esaminare faceva scattare i filtri di sicurezza. “[Q]uesto è stato un po’ frustrante”, ha commentato Raad su X.
OpenCode ha in seguito ottenuto l’accesso al programma Daybreak Blue di OpenAI, che mette a disposizione di utenti verificati modelli meno inclini a negare richieste di lavoro difensivo in sicurezza. Grazie a questo accesso, secondo Raad, il team è riuscito a investigare l’attacco con più efficacia.
Non è la prima volta che un’azienda si scontra con questo ostacolo. A luglio Hugging Face aveva riferito che modelli AI commerciali le avevano impedito di analizzare i log di un’intrusione condotta da agenti AI autonomi, che OpenAI ha poi rivelato essere suoi modelli in test con salvaguardie abbassate. Nella sezione “The asymmetry problem” del suo blog, Hugging Face aveva scritto che le protezioni “non possono distinguere un responsabile di incidenti da un attaccante”. Ricercatori di sicurezza hanno sollevato obiezioni analoghe, lamentando restrizioni incoerenti che hanno spinto alcuni verso modelli open-weight esteri, scaricabili ed eseguibili da chiunque.
L’episodio del fine settimana ha suscitato anche la reazione pubblica di David Sacks, co-chair del President’s Council of Advisors on Science and Technology: “OpenCode (e prima Hugging Face) hanno colpito lo stesso muro a metà attacco: i modelli di frontiera si sono rifiutati di analizzare proprio gli exploit necessari per la difesa perché i payload facevano scattare i filtri di sicurezza. Le protezioni sono state controproducenti.”
Tempismo e contesto
La violazione è avvenuta la stessa notte in cui OpenCode ha reso gratuito GLM-5.3-Flash. La famiglia GLM-5.3 nel suo complesso ha attirato l’interesse dei ricercatori che studiano i modelli open-weight, dato che le sue capacità di cybersecurity si sono avvicinate a livelli prima legati a modelli ad accesso ristretto come Claude Mythos Preview di Anthropic.
Dall’azienda non sono arrivati chiarimenti su come gli attaccanti abbiano fatto breccia nel sistema più vecchio, su come fossero archiviate le chiavi né sull’effettiva portata degli abusi. Agli utenti colpiti è stato chiesto di revocare e sostituire direttamente le proprie chiavi presso ciascun provider. L’incidente, ha comunicato OpenCode, è ancora in corso.
La violazione arriva in un periodo fitto di incidenti informatici alimentati dall’AI. All’inizio del mese la società di cybersecurity CrowdStrike aveva indicato che un hacker legato alla Cina aveva probabilmente utilizzato un agente AI di penetration testing — strumenti che cercano punti deboli nei sistemi informatici — e Claude in attacchi contro banche sudcoreane. La settimana scorsa, l’agenzia cybersecurity indiana aveva avvertito che agenti AI, inclusi alcuni in test presso aziende del settore, avevano raggiunto senza autorizzazione i sistemi di organizzazioni indiane.
