Varredura de incidentes de agentes de IA, 17/10 noite: brecha no OpenCode Console e chaves de API de Anthropic, OpenAI e Google gastas por terceiros — ninguém invadiu seu agente, só gastaram sua chave

Escopo e janela

Quarta janela de 17/10/2026: das 15:54 às 21:54 UTC (das 12:54 às 18:54 no horário de Brasília). Ela emenda na anterior, que está na varredura de 17/10, tarde, sem buraco de horário — mas com um buraco de cobertura, que contamos mais abaixo.

Duas frentes, como sempre: agentes de IA em geral (falhas e comportamentos inesperados de sistemas agênticos, ações destrutivas de agentes autônomos, prompt injection, exploração de ferramentas e servidores MCP, vazamento de dados por agente, interrupções de serviço) e Claude/Anthropic (incidentes, outages, degradação de modelo, falhas de segurança, mudanças abruptas de disponibilidade ou de política).

Cada item está marcado como OBSERVADO quando a fonte foi lida nesta execução, ou REGISTRADO quando é relato de terceiros ainda não confirmado na raiz. Neste texto há uma terceira camada que deixamos à vista: repasse do comunicado, quando o número vem da empresa e ninguém de fora tem como auditar.

O resultado da noite cabe numa linha: ninguém invadiu o agente; gastaram a chave que estava guardada no painel de outra empresa.

Agentes de IA

[OBSERVADO] Brecha no OpenCode Console: chaves de provedores expostas e usadas. A OpenCode, que faz um agente de programação open-source, publicou no X às 17:56 UTC (14:56 em Brasília): "We had a security breach last night related to a large scale distillation attack that impacted 1.4% of OpenCode Console users". Às 18:08 UTC (15:08) editou o post para dizer que avisou todos os afetados por e-mail pela manhã, que quem não recebeu e-mail não foi atingido, que o grupo é "a subset of users who had external providers linked" e que trabalha "with Anthropic, OpenAI, and Google to remediate". O incidente, segundo a empresa, segue em andamento.

[Repasse do comunicado] O que só a OpenCode sabe. São da empresa, e não auditáveis por fora: o 1,4% dos usuários do Console, a data (noite de 16/10), o rótulo "ataque de destilação" e o recorte "quem tinha provedor externo vinculado". O e-mail aos afetados, cujo texto vários usuários publicaram, diz que a empresa identificou acesso não autorizado a um sistema legado que estava sendo desativado e que chaves de provedores terceiros (como OpenAI e Anthropic) salvas no workspace podem ter sido expostas. A OpenCode não divulgou número absoluto de contas, de chaves, valor em dólares, como o sistema foi acessado nem por quanto tempo ficou exposto.

[OBSERVADO] A Anthropic agiu dentro da janela. Às 21:04 UTC (18:04 em Brasília), Lydia Hallie, que se apresenta no X como da equipe do Claude Code na Anthropic, escreveu, citando o post da OpenCode: "We've been working with OpenCode on yesterday's breach and have revoked Claude API keys we believe were affected." E recomendou criar uma chave nova a quem salvou uma no OpenCode. É post de funcionária, não nota oficial nem página de status — mas é a primeira ação de um provedor que localizamos. De OpenAI e Google, nenhuma manifestação localizada até o fechamento.

[OBSERVADO] O alcance não parou nas contas dos clientes. Às 18:41 UTC (15:41), Dax Raad, da OpenCode, escreveu: "my personal accounts are being attacked now too". Às 21:38 UTC (18:38), esclareceu que o caso é do OpenCode Console, não do OpenCode em si: as chaves de quem roda o agente com configuração local "never come to us".

[REGISTRADO] Quanto custou. Usuários relataram no X, desde o fim da manhã de 17/10, cobranças noturnas em chaves salvas no Console, em valores que vão de dezenas a milhares de dólares, e um deles contou que o Google suspendeu o projeto por atividade suspeita. São relatos individuais, sem confirmação da empresa; não somamos nem usamos como número do caso.

[OBSERVADO] Como o caso chegou ao Hacker News. "OpenCode: Potential provider key breach [Reddit]" (item 50133006, 17:19 UTC), "OpenCode Hacked: User credentials leaked" (50133401, 18:01 UTC, apontando para o post oficial; mais de 600 pontos quando conferimos, depois da janela) e "OpenCode reports security breach affecting 1.4% of Console users" (50133584, 18:18 UTC). Cobertura secundária dentro da janela: Crypto Briefing (19:19 UTC), Exame, em português (16h24 em Brasília), e Notebookcheck (19:42 UTC).

Negativas da janela. Nada mais novo sobre prompt injection, exploração de servidor MCP, ação destrutiva de agente autônomo ou interrupção de plataforma de agentes. Lançamentos de ferramentas defensivas que passaram pelo Hacker News (InBox Wall, AegisKernel, Nono) são produto, não incidente.

Linha do tempo (UTC, 17/10)

Entre o post mais antigo que achamos (14:12 UTC) e o comunicado público (17:56 UTC) passaram cerca de 3h40. Quem tinha a chave salva no Console ficou sabendo pelo alerta de gasto, pelo e-mail ou pelo X antes de saber pelo comunicado.

O que fazer, separando quem disse o quê

O que a OpenCode pede no e-mail: revogar e substituir as chaves de provedores que estavam salvas no workspace, atualizar os apps que usam essas chaves e revisar o uso recente.

O que a Anthropic disse: já revogou as chaves do Claude que acreditava afetadas; quem salvou uma chave no OpenCode e quer ser cuidadoso deve criar uma nova.

O que nós acrescentamos (recomendação nossa, não da empresa):

1. Revogue no painel do provedor. Desvincular a chave no Console não a invalida; quem tem uma cópia continua gastando até ela ser revogada na Anthropic, na OpenAI ou no Google.
2. Uma chave por ferramenta. Se a chave de um serviço vaza, você revoga só aquela, sem parar o resto.
3. Limite de gasto e alerta em cada chave. Aqui, limite de gasto é controle de segurança, não só de orçamento: é o que define o tamanho da conta que o atacante consegue deixar para você.
4. Procure consumo fora do padrão desde a noite de 16/10: modelos que você não usa, volume constante de madrugada, saídas longas e uniformes.

Claude / Anthropic

[OBSERVADO] Sem incidente operacional. Em status.claude.com (status.anthropic.com redireciona para lá), claude.ai, Claude Console, Claude API, Claude Code, Claude Cowork e Claude for Government aparecem operacionais, sem incidente aberto e sem manutenção. O último incidente segue sendo o de erros elevados em platform.claude.com, aberto em 07/10 e resolvido às 18:00 UTC de 13/10. São dez ciclos seguidos sem incidente operacional do lado Claude/Anthropic.

[OBSERVADO] Exposição indireta pelo caso OpenCode. Chaves da API do Claude estavam entre as salvas no Console. Não é incidente da Anthropic — a infraestrutura dela não aparece como invadida em nenhuma fonte —, mas o custo do uso indevido cai na conta de quem é dono da chave. A diferença desta janela é que a Anthropic não ficou parada: revogou as chaves que acreditava afetadas.

[REGISTRADO] Relatos de campo que a página de status não mostra. Quatro issues abertas em anthropics/claude-code dentro da janela, todas conferidas na API do GitHub, nenhuma com resposta da Anthropic até a conferência:

• #103058 (19:21 UTC): quedas de conexão no meio da resposta com sessões simultâneas. O autor contou 291 erros de API em sete dias (11 a 17/10), 276 deles em 16 e 17/10, contra 15 nos cinco dias anteriores, e diz que, para os dois tipos de erro mais comuns, o turno se perde sem nova tentativa automática. Atenção ao tamanho: é a medição de um usuário, numa máquina, rodando de 7 a 9 sessões do Claude Code ao mesmo tempo — não uma contagem do repositório.
• #103064 (20:16 UTC): uma sessão do app desktop seguiu mandando e repetindo requisições enquanto o Mac dormia com a tampa fechada (DarkWake). O autor diz que o uso semanal saltou de cerca de 9% para 19% e que não consegue ver quanto custaram as requisições abortadas — suspeita de cobrança, não constatação.
• #103070 (21:11 UTC): falhas repetidas e raciocínio incorreto na versão 2.1.302; marcada como precisando de reprodução.
• #103072 (21:34 UTC): "por que no se conecta con claude en la nube?" — relato curto, sem detalhe.

Página de status × campo

As duas coisas são verdadeiras ao mesmo tempo: o status do Claude está verde e há gente relatando, com registro e horário, turnos perdidos no meio da resposta. A página de status mede o serviço; a issue mede a experiência de quem usa. E o maior caso da noite para clientes da Anthropic — chaves gastas por terceiros — também não aparece na página de status, porque não é falha do serviço: aconteceu no painel de outra empresa.

Risco aberto

[OBSERVADO] CVE-2026-111322: o Archon segue sem versão corrigida no NVD, pelo sexto ciclo da série. A API de controle (/api/*) sem autenticação e escutando em 0.0.0.0 na instalação padrão; quem alcança a máquina pela rede pode mandar mensagens ao agente, que roda com permissões amplas, e executar comandos. NVD: versões 0.2.13 a 0.11.1, notas 9,8 (CVSS 3.1) e 9,3 (CVSS 4.0), status Deferred, última alteração às 20:17 UTC de 16/10, sem versão corrigida. O checkpoint desta janela deixou o Archon como pendência sem reverificação; nós reverificamos.

O que mudou: o projeto publicou a v0.12.0 (13:48 UTC) e a v0.12.1 (15:04 UTC) em 17/10, antes desta janela. As notas das duas não citam a CVE, e nenhuma issue ou PR do repositório a menciona. No código da v0.12.1, o endereço padrão continua sendo 0.0.0.0 e a autenticação web continua desligada por padrão. Pela nossa leitura do código — sem teste nosso e sem confirmação do projeto —, o comportamento descrito na CVE continua no padrão. Enquanto isso não muda: HOST=127.0.0.1, porta bloqueada no firewall ou autenticação ligada.

O que a janela anterior não pegou

O caso OpenCode começou a aparecer antes desta janela. Os primeiros relatos públicos que localizamos (14:12 a 15:30 UTC, das 11:12 às 12:30 em Brasília) caíram na janela da tarde (09:54–15:54 UTC), que não registrou o caso (naquela execução o Reddit seguia bloqueado). Ele entra aqui porque o comunicado oficial, a edição com o escopo, a ação da Anthropic e os fios do Hacker News estão dentro desta janela — e porque o fato em si (a brecha) é da noite de 16/10, o que pela regra da série o deixaria de fora se olhássemos só a data do fato. Preferimos declarar a exceção a esconder o atraso.

Archon: a tarde escreveu "sem correção", e isso continua certo no NVD; mas as duas releases de 17/10 saíram dentro daquela janela e não foram citadas.

Descartados por recência

O filtro é a data do fato, não a da publicação.

• Pista falsa de um modelo da Anthropic à polícia da Filadélfia: o envio é de 18/07/2026 (Claude Haiku 4.5, num formulário de crimes sem solução, marcado como spam e nunca repassado a investigadores); a Anthropic descobriu em 28/09, avisou a polícia em 07/10 e o caso foi divulgado entre 09 e 10/10. Voltou a circular nesta janela — reaquecimento.
• Temporada apagada de "The Challenge Sverige" (TV4/Mastiff): noticiada em 14/10 pelo Aftonbladet, com fontes anônimas atribuindo a um agente de IA; a TV4 negou no mesmo dia e apontou falha de backup na produtora. Fora da janela e com a atribuição à IA desmentida.
• CERT-In e agentes de IA com acesso a sistemas corporativos: anterior à janela, já citado na série.
• CVE-2025-68143, 68144 e 68145 (mcp-server-git): publicados no NVD em 17/12/2025, com correções nas versões 2025.9.25, 2025.12.17 e 2025.12.18. Material antigo que o buscador indexa como novo.
• Prompt injection via MCP sampling (provas de conceito da Palo Alto Networks): dezembro de 2025, pela datação do checkpoint.
• Agente da OpenAI e a carteira Sepolia: fato de 26/06/2026, divulgado em 15/10 — assunto da varredura da manhã.
• Ferramentas defensivas lançadas na janela (InBox Wall, AegisKernel, Nono): produto, não incidente.

Lacunas desta execução

• Reddit inacessível, de novo: r/opencode e r/ClaudeAI entraram só por via indireta (Hacker News, X e reportagens). O horário do primeiro aviso no r/opencode (por volta das 14:14 UTC, segundo o checkpoint) não foi conferido.
• Fonte primária da OpenCode: a rotina não conseguiu abrir o post no X; na conferência, lemos os dois posts (17:56 e 18:08 UTC) por um espelho público do X.
• Mecanismo da brecha e do "ataque de destilação": não divulgados. A classificação é da OpenCode; não há evidência pública de como as chaves foram usadas nem para quê.
• OpenAI e Google: nenhuma manifestação localizada.
• Status da Anthropic: a rotina teve o JSON bloqueado por robots e leu a página HTML; na conferência, o JSON abriu e confirmou o mesmo quadro.
• Execução em nuvem, sem acesso ao computador do Guardião.

Leitura do ciclo

A chave é o perímetro. Nas janelas anteriores o risco estava no contrato da ferramenta (mudanças não anunciadas em servidores MCP) e na correção que só protege sob condição (o Xoscar, que exige uma variável de ambiente). Agora ele aparece um degrau antes: não adianta o agente, o modelo e o servidor estarem íntegros se a credencial que liga tudo isso está guardada no banco de dados de um terceiro.

O raio do estrago não respeita a fronteira do fornecedor. Anthropic, OpenAI e Google não aparecem como invadidas, e mesmo assim clientes delas pagaram a conta. A superfície de ataque de uma pilha de agentes é a soma de todos os lugares onde a chave foi colada.

Remédio no lugar certo. Revogar no painel de quem vazou não basta; a chave morre no provedor. Foi o que a Anthropic fez do lado dela.

Ação sugerida: faça hoje o inventário de onde cada chave sua está salva (painéis, gateways, IDEs na nuvem, CI), com dono, limite de gasto e data de criação. A chave que você não lembra onde colou é a que vai aparecer no extrato.

Conferido antes de publicar

Conferido (17/10/2026, por volta das 19h36–19h41 em Brasília, nas fontes originais)

• OpenCode no X: posts das 17:56:19 e 18:08:06 UTC lidos (espelho público); 1,4% dos usuários do Console, provedor externo vinculado, Anthropic/OpenAI/Google na remediação, "noite passada", e-mail pela manhã — conferem com o checkpoint. Os números são repasse do comunicado.
• Linha do tempo: Matt Johansen às 15:18 UTC (e 15:30), alertas de gasto e suspensão pelo Google às 14:35 UTC, Dax Raad às 18:41 UTC — conferem. O horário do Reddit (14:14 UTC) não foi conferido; o post mais antigo localizado no X é das 14:12 UTC.
• Hacker News: o item "OpenCode: Potential provider key breach [Reddit]" é o 50133006, não o 50133083 que o checkpoint citou (esse é um comentário sem relação). 50133401 (18:01 UTC) e 50133584 (18:18 UTC) conferem.
• Acréscimo: a ação da Anthropic (Lydia Hallie, 21:04 UTC, chaves do Claude revogadas) e o esclarecimento de Dax Raad (21:38 UTC, só o Console) não estavam no checkpoint.
• Correção: a remediação pedida pela OpenCode é revogar e substituir, atualizar apps e revisar o uso. Limite de gasto e revisão por modelo e volume são recomendação nossa e de terceiros, e estão separados no texto.
• Issues #103058, #103064, #103070 e #103072: existem, com títulos e horários do checkpoint. Correção: os 276 erros em 16 e 17/10 são de um único usuário, numa máquina, com várias sessões simultâneas — não "do issue tracker".
• status.claude.com (API, 22:37 UTC): tudo operacional, sem incidente; o último foi aberto em 07/10 e resolvido em 13/10 (o checkpoint dizia "de 13/10").
• CVE-2026-111322 no NVD (22:38 UTC): sem versão corrigida, Deferred, sem alteração desde 16/10 20:17 UTC. Acréscimo: releases v0.12.0 e v0.12.1 em 17/10, sem menção à CVE; padrão de endereço e de autenticação inalterado pela nossa leitura do código.
• Descartados: CVE-2025-68143/68144/68145 publicados em 17/12/2025 (correção do 68143 é de setembro de 2025). Correções: o caso da Filadélfia é de 18/07 (09–10/10 é a divulgação); o da TV4 foi noticiado em 14/10 e desmentido no mesmo dia; o caso OpenAI/Sepolia é de 26/06, divulgado em 15/10.
• Nenhum grau de evidência foi elevado além do que as fontes sustentam.

Fontes

• OpenCode no X — comunicado das 17:56 UTC
• OpenCode no X — versão editada das 18:08 UTC
• Lydia Hallie (Anthropic) no X — chaves do Claude revogadas, 21:04 UTC
• Dax Raad no X — contas pessoais sob ataque, 18:41 UTC
• Dax Raad no X — o caso é do Console, 21:38 UTC
• Matt Johansen no X — 15:18 UTC e 15:30 UTC
• Usuário relata alertas de gasto e suspensão pelo Google — 14:35 UTC
• Hacker News — OpenCode: Potential provider key breach (50133006)
• Hacker News — OpenCode Hacked: User credentials leaked (50133401)
• Hacker News — OpenCode reports security breach affecting 1.4% of Console users (50133584)
• Exame — OpenCode relata ataque de destilação em massa e alerta usuários afetados
• Crypto Briefing — OpenCode discloses distillation attack that hit 1.4% of Console users
• Notebookcheck — OpenCode hacked, users urged to revoke their API keys
• GitHub — anthropics/claude-code #103058, #103064, #103070, #103072
• Claude Status
• NVD — CVE-2026-111322 (Archon)
• Archon — releases (v0.12.0 e v0.12.1)
• NVD — CVE-2025-68143, CVE-2025-68144, CVE-2025-68145
• AP — Anthropic AI model sends false tip to Philadelphia police
• Euronews — Swedish reality show season lost amid disputed AI claims
• Varredura de 17/10, tarde (janela anterior)

Nota de método

Este texto parte do checkpoint da varredura escrito pelo Claude (@Evo), na rotina agendada que rodou às 21:54 UTC de 17 de outubro de 2026 (18:54 em Brasília) e foi gravada no Castelo às 22:00 UTC (19:00 em Brasília, id 318233ff-7abf-490b-af08-fdc65b4d078d), e foi sintetizado pelo SONAR, o sistema de varredura do Super Evo Lab. Antes da publicação, reabrimos as fontes: os posts da OpenCode e das pessoas envolvidas no X, os itens do Hacker News pela API do Algolia, as quatro issues pela API do GitHub, a API de status do Claude, o NVD das CVEs citadas e as releases do Archon. As correções e os acréscimos estão na caixa acima. O que é número da empresa está marcado como repasse do comunicado. Nenhum grau de evidência foi elevado.

SONAR · investigação aberta. As conclusões serão atualizadas à medida que novos testes e evidências forem obtidos.