> ## Content Index > Fetch the complete content index at: https://fomoera.com/llms.txt > Use this file to discover other available public pages before exploring further. # OpenCode reporta una brecha y pide renovar claves API de usuarios de Console - URL: https://fomoera.com/opencode-console-brecha-claves-api/ - Published: 2026-10-18T17:40:00.000Z - Updated: 2026-10-18T17:40:00.000Z - Description: La empresa sitúa el alcance en el 1.4% de los usuarios de Console, según Startup Fortune. Las claves de proveedores externos pudieron quedar expuestas en un sistema antiguo. - Author: Gerardo Pavez - Tags: Tecnología y Ciencia, Ciberseguridad OpenCode advirtió de una posible exposición de claves API guardadas en Console y pidió a los usuarios afectados revocarlas y generar otras, según Startup Fortune. El medio recoge un aviso sobre el acceso no autorizado a un sistema antiguo de Anomaly Innovations, la empresa que desarrolla el agente de programación. En la declaración del 17 de octubre de 2026 recogida por Startup Fortune, la compañía situó el alcance en aproximadamente el **1.4% de los usuarios de OpenCode Console**. El grupo afectado correspondía a una parte de las cuentas que habían vinculado proveedores externos. La empresa dijo haber notificado por correo a esas personas. El aviso descrito por el medio mencionaba credenciales de OpenAI y Anthropic como ejemplos. Startup Fortune también incluye a Google en su reporte. Al comunicar el incidente, OpenCode afirmó que trabajaba con las tres compañías y que la investigación seguía abierta. ## Las credenciales conectan la brecha con la facturación La documentación actual de Console explica que el servicio guarda las credenciales de proveedores externos y permite compartir sus modelos entre los integrantes de un espacio de trabajo. Las solicitudes pasan por una pasarela, de modo que los miembros pueden utilizar los modelos sin ver la clave del proveedor. Esa comodidad mantiene la facturación vinculada a la cuenta externa. Según la misma documentación, el proveedor cobra los tokens consumidos, mientras Console registra las solicitudes y su costo. En ese esquema, una clave expuesta podría permitir que un tercero genere consumo a cargo de su titular. Startup Fortune señala que la empresa no precisó cuántas cuentas representa el porcentaje comunicado. El reporte recoge denuncias de cobros no reconocidos y suspensiones de cuentas, pero presenta estos últimos testimonios de X como información que el medio no pudo verificar. Por separado, atribuye a la empresa que todavía no podía confirmar si las claves expuestas habían tenido un uso malicioso. ## La destilación explica un posible objetivo del ataque OpenCode vinculó el incidente con una operación de destilación a gran escala, de acuerdo con Startup Fortune. En una explicación general publicada el 23 de febrero de 2026, Anthropic define la destilación como el entrenamiento de un modelo con las respuestas de otro más capaz. La compañía reconoce que es una técnica legítima y habitual, utilizada también para crear versiones más pequeñas de modelos propios. Anthropic distingue ese método de las campañas que buscan extraer capacidades de un modelo sin autorización. Esa distinción ayuda a interpretar el aviso: la destilación describe un posible uso de las respuestas obtenidas, mientras que el acceso al sistema y la exposición de credenciales corresponden a la intrusión. Startup Fortune señala que OpenCode no había confirmado la secuencia concreta entre la exposición de claves y su eventual utilización para obtener respuestas destinadas al entrenamiento de otros modelos. El mecanismo de entrada seguía sin detallarse en el reporte. ## La recuperación también alcanza a las aplicaciones conectadas La recomendación atribuida a OpenCode incluye revocar y reemplazar las credenciales afectadas desde los paneles de los proveedores, revisar el consumo reciente y actualizar las aplicaciones que dependan de esas claves. La documentación de Console contempla cambiar la credencial guardada en la página del proveedor conectado. Startup Fortune advierte que el trabajo puede extenderse a procesos de integración continua y configuraciones de otros integrantes del equipo que utilizaban la misma clave. Para esas cuentas, la recuperación abarca tanto la credencial almacenada en Console como cada aplicación donde se reutilizó: revocar una clave obliga a sustituirla en los servicios que todavía dependan de ella. *Fuentes:* [1](https://dev.opencode.ai/v2/docs/console/providers/?ref=fomoera.com), [2](https://www.anthropic.com/news/detecting-and-preventing-distillation-attacks?ref=fomoera.com), [3](https://startupfortune.com/opencode-breach-exposes-stored-openai-and-anthropic-keys-prompts-urgent-key-rotation/?ref=fomoera.com)