Índice do artigofaltam 6 min de leitura
Duas frases do mesmo incidente parecem se contradizer. Na noite de sexta, 16 de outubro, alguém entrou num sistema do OpenCode, o agente de código aberto que lidera o GitHub Trending desta segunda-feira, com mais de 217 mil estrelas. Dax Raad, cofundador, afirmou, segundo a TechCrunch, que o caso era do OpenCode Console e não do OpenCode, porque "essas chaves nunca chegam até nós". O anúncio oficial da empresa, no sábado, dizia que os atingidos eram "um subconjunto de usuários que tinham provedores externos ligados".
As duas frases são verdadeiras ao mesmo tempo, e a diferença entre elas é a única coisa deste caso que muda o que uma equipe de engenharia faz amanhã.
O que o OpenCode confirmou, e o que ainda não disse
O anúncio, publicado no X no sábado, 17 de outubro, às 15h08 de Brasília, chama o caso de "ataque de destilação em larga escala" e diz que ele atingiu 1,4% dos usuários do Console. A empresa avisou os atingidos por e-mail naquela manhã, informou que quem não recebeu e-mail não foi afetado, e disse que o incidente seguia em curso, sem mais detalhes, em conjunto com Anthropic, OpenAI e Google.
Os três fornecedores responderam no mesmo fim de semana, cada um pela voz de alguém da equipe. Lydia Hallie, da Anthropic, escreveu que as chaves da API do Claude que eles acreditam afetadas foram revogadas. Evan Otero, do Google, falou em "chaves da API do Gemini guardadas no OpenCode", bloqueadas, e mandou quem usou chave com o OpenCode criar outra no AI Studio, apagar a antiga e revisar o uso. Na segunda-feira, Tibo, da OpenAI, escreveu que os usuários afetados que também são clientes da API da OpenAI voltaram a operar e tiveram reembolsados os créditos consumidos no ataque. Raad disse na noite de sábado que os reembolsos já estavam em andamento.
O que ninguém disse ainda: por onde os atacantes entraram (a TechCrunch fala em "um sistema mais antigo"), quantos usuários o Console tem, e portanto quantas pessoas são 1,4%, e quanto foi cobrado no total. O rótulo de destilação, que é usar as respostas de um modelo para treinar outro, também é a palavra da empresa: Nathan Lambert, pesquisador de IA, estranhou em público que um roubo de chaves fosse chamado assim.
A chave não estava no agente, estava no painel
O OpenCode é duas coisas. Uma é o agente, que roda no terminal do desenvolvedor e conversa direto com o fornecedor do modelo usando a chave que o próprio desenvolvedor configurou na máquina. A outra é o Console, um painel web onde a pessoa cria conta, compra crédito e usa uma lista de modelos testados pela equipe do OpenCode, e onde também dá para ligar uma conta de provedor externo, ou seja, deixar ali a própria chave da OpenAI, da Anthropic ou do Google.
Nossa leitura é que a frase de Raad fala das chaves do primeiro caso e o anúncio fala das do segundo. É o que os avisos dos fornecedores dizem sem rodeio: o Google fala em chaves "guardadas no OpenCode", e a Anthropic sugere trocar a chave "se você salvou uma chave no OpenCode". Pelo que os quatro avisos dizem, o agente não foi o caminho. O caminho foi o lugar onde uma cópia da chave ficou guardada para conveniência.
Isso desloca a pergunta. Escolher entre agente aberto ou fechado, local ou na nuvem, importa menos do que contar quantos lugares têm uma cópia da chave que paga a conta de IA da empresa. Cada painel de ferramenta, cada variável de CI, cada arquivo .env num notebook é um lugar a mais, e cada um responde à segurança de quem o opera, não à sua.
Nos nossos projetos de integração vemos o mesmo padrão com outro nome: a chave do serviço integrado nasce na conta do cliente e é repassada à equipe que integra, e durante o projeto ela passa a existir em mais de um lugar. Não há nada de errado nisso enquanto alguém souber listar esses lugares.
Uma noite de chave alheia, em reais
Os relatos que a TechCrunch reuniu, de usuários no Reddit e no X, falam em alertas de gasto da OpenAI, da Anthropic e do Google disparando durante a noite, cobranças de centenas de dólares para a maioria e acima de US$ 1.000 para alguns. São relatos individuais, não uma medição, e não existe total agregado publicado.
Para ter a ordem de grandeza em reais: US$ 1.000 pela PTAX de venda de 16 de outubro, R$ 5,0826, dão R$ 5.082,60, antes do IOF e do spread do cartão, porque a cobrança desses fornecedores sai em dólar.
O detalhe mais instrutivo dos relatos é o alerta que disparou. O alerta de gasto existe nos três fornecedores e funcionou: avisou. Alerta avisa, não para. O que para é outra configuração, que cada fornecedor chama de um jeito.
O teto que cada fornecedor deixa ligar
Os três permitem um limite que interrompe as requisições, e os três o tratam de forma diferente. Situação nas documentações oficiais, consultadas em 19 de outubro de 2026:
| Fornecedor | O teto que você define | O que acontece ao bater |
|---|---|---|
| Anthropic | limite próprio abaixo do teto do nível da conta (US$ 500 por mês no nível Start), na organização e por workspace | as requisições são recusadas até a virada do mês ou até alguém subir o limite |
| OpenAI | limite rígido mensal, separado do alerta por valor | o tráfego afetado para quando o gasto rastreado chega ao limite |
| Google (API do Gemini) | teto por projeto no AI Studio, ainda experimental, além do teto da conta por nível (US$ 250 no Tier 1) | o serviço pausa; os dados de faturamento atrasam cerca de 10 minutos, então o teto do projeto pode ser ultrapassado |
O teto do nível Start da Anthropic, US$ 500, dá R$ 2.541,30 pela mesma PTAX. Ele é o máximo que a conta inteira gasta no mês; o limite que você define fica abaixo dele e pode ser por workspace, o que permite dar a cada ferramenta um espaço com teto próprio.
A decisão desta semana cabe numa planilha de três colunas: cada chave de modelo de IA da empresa, cada lugar onde ela está salva, e o teto que a protege. Chave que mora em painel de ferramenta de terceiro ganha uma linha só para ela, com um workspace ou projeto próprio e teto próprio, para que um vazamento ali custe no máximo aquele teto. A OpenAI recomenda, além disso, data de expiração na chave de projeto e rotação regular, o que transforma a troca de chave depois de um incidente em rotina já ensaiada.
Para quem isto não muda nada
Para quem usa o OpenCode só no terminal, com a chave configurada na máquina, o incidente do Console não é dele, pela declaração do próprio OpenCode e pelos avisos dos fornecedores, que falam sempre em chave salva no OpenCode. Isso não faz da ferramenta local um lugar seguro por definição: em 24 de setembro o próprio repositório publicou um aviso de severidade alta sobre o modo servidor do agente, sem relação com este caso, e a chave na máquina continua exposta ao que estiver na máquina.
Para quem foi atingido, o custo em dinheiro tende a voltar: a OpenAI e o OpenCode anunciaram reembolso, e o Google mandou contestar a cobrança pelo suporte de faturamento. O custo que sobra é o da troca, em cada sistema que usava a chave revogada, que para de funcionar até receber a nova.
E para quem decide ferramenta pela segurança, o caso diz pouco sobre o OpenCode em particular. A empresa ainda não explicou a entrada, e um incidente num painel não é retrato do produto. O que o caso mostra é a regra geral: toda conveniência que guarda a sua chave em casa alheia vira um lugar a mais para vigiar.
Se a chave que paga a fatura de IA da sua empresa vazasse hoje à noite, em quantos lugares você teria de trocá-la amanhã cedo, e qual teto pararia o gasto antes disso?
Fontes e método
- Incidente: anúncio do OpenCode no X em 17/10/2026, 18h08 UTC (1,4% dos usuários do Console, usuários com provedores externos ligados, incidente em curso), declaração da empresa sem verificação independente. Declarações de Lydia Hallie (Anthropic, 17/10), Evan Otero (Google, 17/10), Tibo (OpenAI, 19/10) e Dax Raad (18/10), todas no X. A frase de Raad sobre as chaves que "nunca chegam" ao OpenCode e os relatos de cobrança vêm da TechCrunch de 19/10/2026, que cita o The Hacker News; o post original não foi localizado. A crítica ao rótulo de destilação é de Nathan Lambert, no X, em 17/10.
- Produto: documentação do OpenCode Console e repositório anomalyco/opencode pela API do GitHub (estrelas e avisos de segurança), consultados em 19/10/2026.
- Tetos de gasto: documentação de limites da Anthropic, guia de boas práticas de produção da OpenAI e página de faturamento da API do Gemini, consultados em 19/10/2026. Tetos e comportamentos mudam; confira na conta antes de configurar.
- Câmbio: PTAX de venda de 16/10/2026 do Banco Central. As conversões são conta nossa, antes de IOF e spread.
- Experiência da X-Apps: projetos de integração, descritos sem nome de cliente e sem número.
- Validade: o incidente estava em curso em 19/10/2026; percentual, reembolsos e relatos valem como declarados até essa data.
