OpenCode violato: chi ha la chiave spende per te

Sabato 17 ottobre, alle 20:08 ora italiana, l’account ufficiale di OpenCode ha pubblicato tre righe su X. La prima diceva: «La notte scorsa abbiamo subito una violazione della sicurezza, legata a un attacco di distillazione su larga scala».

Quando si legge «violazione», di solito si pensa ai dati: email, password, numeri di carta. Qui, stando alla notifica ai clienti, a essere esposte potrebbero essere state le chiavi che gli utenti avevano affidato a OpenCode per collegarlo a OpenAI, Anthropic e Google.

Una chiave API in mano ad altri è prima di tutto un contatore che gira a nome tuo.

Cosa è successo, in ordine

OpenCode è un agente di programmazione: un programma che prende un modello di intelligenza artificiale e gli dà le mani per lavorare dentro un progetto vero. Lo fa Anomaly, la società un tempo nota come SST. Ne ho scritto cinque giorni fa in una guida a OpenCode, e una delle cose che lo rendono interessante è proprio questa: il cervello lo scegli tu. Colleghi il modello che preferisci, spesso con una chiave API del fornitore.

Accanto al programma esiste OpenCode Console, un servizio online facoltativo. Secondo TokenPost serve ai team per tenere le chiavi dei fornitori AI in uno spazio di lavoro comune: i membri usano i modelli senza mai vedere le credenziali.

Ecco i fatti, separati da quello che ancora manca.

• Il post ufficiale, pubblicato alle 18:08 UTC del 17 ottobre, parla di una violazione avvenuta la notte precedente, che ha colpito l’1,4% degli utenti di Console. La percentuale riguarda Console, non tutti quelli che usano OpenCode.
• Gli utenti colpiti, scrive l’azienda, sono stati avvisati via email quella stessa mattina. Erano una parte di quelli che avevano collegato fornitori esterni. «Se non hai ricevuto un’email, non sei stato colpito.»
• La notifica ai clienti, riportata da CyberSecurityNews e Notebookcheck, parla di un accesso non autorizzato a un sistema vecchio che OpenCode stava già preparando a spegnere. Le chiavi dei fornitori salvate negli spazi di lavoro, comprese quelle di OpenAI e Anthropic, «potrebbero essere state esposte».
• La richiesta è chiara: revocare e sostituire le chiavi dal pannello di ogni fornitore, aggiornare le applicazioni che le usano, controllare l’uso recente.
• OpenCode dice di lavorare con Anthropic, OpenAI e Google per rimediare, e che l’incidente è ancora in corso: per ora niente altri dettagli.

Quello che manca è parecchio. Come sono entrati. Per quanto tempo. Quante chiavi. Chi c’è dietro. E se le chiavi esposte siano state davvero usate: secondo TokenPost e Startup Fortune, ai clienti l’azienda ha scritto di non poterlo confermare.

Alcuni utenti, intanto, qualcosa l’hanno visto. Su Reddit un utente racconta 400 dollari di addebiti non autorizzati sul suo account Anthropic, un altro circa 200 euro di consumi su Google, con il progetto sospeso per abuso. Secondo TokenPost, Max Weinbach ha scritto che il suo account OpenAI aveva registrato in un giorno circa 35 milioni di token — i pezzetti di testo con cui i fornitori contano e fanno pagare il lavoro dei modelli — in 8.966 richieste, con il credito prepagato finito a meno 2,15 dollari. Sono racconti di singoli, non verificati, e vanno presi così: da soli non dimostrano che gli addebiti dipendano dalla violazione.

Un dettaglio, riportato da Notebookcheck, merita una riga a parte: un utente dice di aver ricevuto gli avvisi di consumo di OpenAI e Anthropic prima dell’email di OpenCode. Anche questo è un racconto non verificato. Se è andata così, a dare l’allarme, per lui, è stato il contatore.

Cos’è una chiave API, detto semplice

Una chiave API è una lunga stringa di lettere e numeri che dice al fornitore: «queste richieste sono mie, mettile sul mio conto». API sta per interfaccia di programmazione: la porta da cui un programma parla con un altro senza passare dalla chat.

Pensa alla tessera carburante dell’azienda. Il suo lavoro è questo: chi la usa fa il pieno, e la fattura arriva a te. Con le chiavi API c’è anche un rischio in più: OpenAI avverte che una chiave compromessa può portare, oltre agli addebiti, alla perdita o all’esposizione di alcuni dati dell’account. In questo caso, le segnalazioni degli utenti riguardano soprattutto consumi e addebiti che non riconoscono.

Con l’AI la benzina sono le risposte dei modelli. E le risposte dei modelli migliori costano.

Ora guarda Console con questa immagine in testa. È nato per una ragione sensata: dare ai colleghi la possibilità di fare il pieno senza consegnare a ciascuno la tessera. Una cassaforte comune. Il problema delle casseforti comuni è che chi entra trova tutte le tessere insieme. Crypto Briefing l’ha messa così: uno strumento che tiene le chiavi di più fornitori nello stesso posto «concentra il rischio».

La comodità e il rischio, spesso, sono la stessa scelta vista da due lati.

Perché qualcuno vuole le tue chiavi: la distillazione

Qui entra la parola più strana del comunicato. Distillazione.

Anthropic l’ha spiegata a febbraio 2026: distillare vuol dire addestrare un modello meno capace con le risposte di uno più forte. È un metodo legittimo e diffuso — i laboratori lo usano sui propri modelli per farne versioni più piccole ed economiche. Diventa un attacco quando qualcuno raccoglie senza autorizzazione le risposte dei modelli di un concorrente per copiarne le capacità, in una frazione del tempo e della spesa che servirebbero per costruirle da sé.

In quel documento Anthropic raccontava di aver trovato campagne «su scala industriale» di tre laboratori — DeepSeek, Moonshot e MiniMax — con oltre 16 milioni di scambi con Claude attraverso circa 24.000 account fraudolenti. Aggiungeva un punto che va oltre la concorrenza: un modello copiato così difficilmente si porta dietro le protezioni di sicurezza dell’originale.

Attenzione, perché qui è facile correre. Anthropic parlava di un altro caso, otto mesi fa. Per OpenCode nessuno ha detto chi c’è dietro, e l’azienda non ha spiegato in che modo le chiavi c’entrino con la distillazione. Il ragionamento però si può fare. Per distillare servono milioni di risposte dai modelli migliori. Chiedere milioni di risposte costa. E i fornitori, lo racconta la stessa Anthropic, danno la caccia agli account falsi.

Se è andata così — e OpenCode non l’ha spiegato —, la via più comoda è usare account veri, che sembrano normali e che pagano altri. Account come il tuo.

In questa ipotesi, il ribaltamento è tutto qui. Le chiavi servirebbero a raccogliere risposte facendo pagare altri: la tua firma in fondo alla fattura vale più del tuo lavoro.

Il punto debole era il cassetto vecchio

Rileggi una frase della notifica: un sistema «che stavamo già preparando a spegnere».

Succede in ogni azienda. C’è il vecchio gestionale che nessuno apre più, la casella email del collaboratore andato via, la cartella condivisa del progetto chiuso due anni fa. Sono in via di dismissione, e una cosa che sta per sparire rischia di ricevere meno attenzione: meno controlli, meno aggiornamenti. Nel caso di OpenCode, però, non sappiamo ancora quale falla o quale controllo mancato abbia permesso l’accesso.

Il rischio, spesso, abita nelle cose che stai per buttare.

Poi c’è un dettaglio pratico che TokenPost ricorda e che vale per chiunque: togliere la chiave da OpenCode non basta. La copia già presa resta valida finché non la revochi dal pannello del fornitore, cioè da OpenAI, da Anthropic, da Google. È come cambiare la serratura dell’ufficio e lasciare in giro la tessera carburante: il ladro non ha bisogno di rientrare.

E c’è un dettaglio che vale la pena notare. Startup Fortune ricorda che la documentazione di OpenCode avverte già: le richieste di permesso del programma sono una comodità per chi lo usa, non un confine di sicurezza. Un avvertimento onesto. Che però parla del computer dove gira l’agente. Questa volta la falla era altrove: in un sistema dell’azienda, che l’utente non controllava.

Puoi stare attento quanto vuoi a casa tua. Le tue chiavi abitano anche a casa d’altri.

Ti riguarda anche se la programmazione la lasci ai tecnici

OpenCode lo usano i programmatori. È facile pensare: storia loro.

Però le chiavi API girano molto più di quanto si creda. Il chatbot sul sito che risponde ai clienti, il componente aggiuntivo che scrive le descrizioni dei prodotti, l’automazione che riassume le email, lo strumento che ti ha installato il consulente: ogni volta che un servizio ti chiede di incollare la tua chiave OpenAI o Anthropic, stai consegnando una copia della tessera carburante. A un’azienda di cui non conosci i cassetti.

Questi strumenti restano utili. Quello che serve è sapere dove sono le copie. Molte piccole imprese italiane stanno cominciando a usare agenti AI nel lavoro di tutti i giorni, e l’inventario delle chiavi è uno dei lavori che nessuno mette in agenda finché non arriva la prima fattura strana.

Anche chi fa sicurezza di mestiere può finire dall’altra parte: a settembre, secondo il DIVD, un agente AI è entrato nei server dell’organizzazione olandese che cerca e segnala falle. La domanda utile è quanto ti costa il giorno in cui succede. E quella cifra, in buona parte, la decidi tu prima.

Come portarlo nel tuo lavoro

Sette mosse, in ordine. Le prime due le fai oggi, le altre le metti in agenda questa settimana.

1. Se hai ricevuto l’email di OpenCode, revoca le chiavi dal pannello di ogni fornitore — OpenAI, Anthropic, Google — e non solo da OpenCode. Creane di nuove, aggiorna gli strumenti che le usano, poi guarda i consumi degli ultimi giorni. Se trovi addebiti che non riconosci, scrivi al supporto del fornitore e conserva tutto.
2. Fai l’inventario. Un foglio con tre colonne: il nome della chiave (quello che le dai nel pannello del fornitore), lo strumento che la usa, chi l’ha messa. Il valore segreto della chiave lì dentro va lasciato fuori. Se una riga ti sorprende, è la prima da sistemare.
3. Una chiave per ogni strumento e per ogni persona. OpenAI lo chiede espressamente: una chiave diversa per ogni membro del team, e condividerle è contro i termini d’uso. Il vantaggio è pratico: quando un servizio ha un problema, revochi quella chiave senza dover sostituire le altre. Se però tutte pescano dallo stesso conto o dallo stesso tetto di spesa, i consumi abusivi pesano anche sugli altri strumenti.
4. Metti un tetto di spesa vero. La frase più utile della guida di OpenAI è questa: gli avvisi di spesa, da soli, il traffico non lo fermano. Serve il blocco: un limite mensile che, raggiunto, ferma le richieste. OpenAI avverte che il blocco non è istantaneo, quindi la spesa può superare di poco la soglia, e che a volte si ferma anche il lavoro buono. Anche Anthropic permette tetti per tutta l’organizzazione e per i singoli spazi di lavoro; arrivati al limite, le richieste vengono rifiutate. A me ricorda il principio del freno d’emergenza di cui parlava Satya Nadella: il modo per fermare il sistema si prepara prima, quando tutto va bene.
5. Dai una scadenza alle chiavi. OpenAI permette di creare chiavi che smettono di funzionare da una certa data, e consiglia di cambiarle con regolarità: prima crei la nuova, poi aggiorni gli strumenti, poi revochi la vecchia. Una chiave che dura per sempre è una tessera che nessuno ricorda di aver dato.
6. Tieni le chiavi lontano dalle pagine. Se il tuo sito usa l’AI, la chiave deve stare sul server, mai nel codice che arriva al browser del visitatore: chi la trova lì può usarla a tuo nome. Vale anche per i file condivisi e per il codice messo online.
7. Guarda i consumi ogni settimana. Sul pannello d’uso del fornitore controlli se i consumi corrispondono al lavoro fatto. Lo scopo è conoscere la tua normalità, così l’anomalia salta all’occhio da sola.

Alcune le fai da solo dal pannello del fornitore; per aggiornare gli strumenti può servire chi li gestisce. Il passaggio vero, però, è mentale: trattare una stringa di testo per quello che è, un mezzo di pagamento.

Le parole del comunicato

Chiudo con la parte che mi interessa di più, perché il mio mestiere è guardare come si dicono le cose.

Il post di OpenCode, insieme all’email ai clienti, fa il suo dovere: ammette, dà una misura, dice cosa fare, nomina i partner. Il post è arrivato il 17 ottobre e, secondo l’azienda, le email agli interessati erano già partite quella mattina. Ma due scelte di parole lavorano più di quanto sembri.

La prima è «attacco di distillazione su larga scala». Messa così, la notizia comincia da un avversario potente e sofisticato. «Abbiamo lasciato delle chiavi in un sistema vecchio» racconta gli stessi fatti, con un altro protagonista. Non sto dicendo che la definizione sia falsa: dico che è un’inquadratura, e che chi la sceglie decide anche dove guardi tu.

La seconda è «se non hai ricevuto un’email, non sei stato colpito». Nella mia lettura è una frase utile, che può rassicurare e contenere il panico. Accanto, però, c’è il racconto di quell’utente: il primo avviso gli era arrivato dai fornitori, prima che da OpenCode. La rassicurazione arriva da chi parla. La verifica la fai sul tuo pannello.

In un incidente di sicurezza, la comunicazione fa parte del rimedio. E la fiducia si misura in quello che l’azienda dirà quando saprà di più.

Domande frequenti

Cos’è successo a OpenCode?

Il 17 ottobre 2026 OpenCode ha comunicato una violazione avvenuta la notte precedente, che ha colpito l’1,4% degli utenti di OpenCode Console. Dalla notifica ai clienti: accesso non autorizzato a un vecchio sistema in via di spegnimento, con possibile esposizione delle chiavi API di OpenAI, Anthropic e Google salvate negli spazi di lavoro. L’azienda collega l’incidente a un attacco di distillazione e dice di lavorare con i tre fornitori.

Uso OpenCode: devo cambiare le chiavi?

OpenCode dice che chi non ha ricevuto l’email non è stato colpito, e che si tratta di utenti di Console con fornitori collegati. Se l’email l’hai ricevuta, revoca le chiavi dal pannello di ogni fornitore e controlla i consumi. Se hai salvato chiavi in Console e hai dubbi, cambiarle è una scelta prudente: crei la nuova, aggiorni gli strumenti, revochi la vecchia.

Cos’è un attacco di distillazione?

La distillazione è un metodo per addestrare un modello AI con le risposte di un altro, più forte. Diventa un attacco quando qualcuno raccoglie in massa le risposte dei modelli di un concorrente per copiarne le capacità senza permesso. Per farlo servono moltissime richieste, e le chiavi altrui potrebbero permettere di raccoglierle a spese dei titolari. OpenCode non ha chiarito se sia successo in questo incidente.

Basta cancellare la chiave dallo strumento che la usava?

No. La copia che qualcuno ha già preso resta valida finché non la revochi dal pannello del fornitore che l’ha emessa. Prima si revoca lì, poi si crea la nuova chiave e si aggiorna lo strumento.

Chi paga i consumi fatti con una chiave rubata?

I consumi finiscono sull’account a cui la chiave è collegata. Come verranno gestiti gli addebiti di questo incidente non è stato ancora comunicato. Una chiave compromessa va revocata subito; un tetto di spesa con blocco, impostato prima, aiuta a contenere la cifra, anche se può essere superato di poco perché il blocco non è istantaneo.

Fonti

• OpenCode, post ufficiale su X, 17 ottobre 2026
• CyberSecurityNews, OpenCode Security Breach Exposes Third-Party API Keys of its Console Users, 18 ottobre 2026
• Notebookcheck, OpenCode confirms breach as users report AI charges they never authorised, 17 ottobre 2026
• Startup Fortune, OpenCode breach exposes stored OpenAI and Anthropic keys, 17 ottobre 2026
• TokenPost, OpenCode Says Breach May Have Exposed Users’ AI Provider Keys, 18 ottobre 2026
• Crypto Briefing, OpenCode discloses distillation attack that hit 1.4% of Console users, 17 ottobre 2026
• Anthropic, Detecting and preventing distillation attacks, 23 febbraio 2026
• OpenAI Help Center, Best Practices for API Key Safety
• Claude Platform Docs, Rate limits e tetti di spesa