OpenCode è un agente di coding open source che molti sviluppatori hanno scelto come alternativa a Claude Code e Cursor. La parte open source del progetto non è stata compromessa: l'intrusione è avvenuta nella piattaforma online, dove gli attaccanti hanno sottratto le chiavi API di alcuni utenti e le hanno usate per far lievitare i costi sui loro account AI. Un dettaglio rende la vicenda più istruttiva. Quando il team ha chiesto ad alcuni strumenti di intelligenza artificiale di analizzare il codice malevolo, questi si sono rifiutati di esaminarlo.

La lezione strutturale non riguarda soltanto OpenCode. Questo incidente mostra che un agente di coding basato su API cloud di fornitori terzi accumula credenziali in un unico punto di controllo: la piattaforma che orchestra le sessioni, conserva le configurazioni e gestisce i token. Il codice dell'agente può essere aperto, verificabile e persino eseguito in locale, ma la sicurezza operativa resta appesa a servizi centralizzati che l'utente finale non governa. Chi adotta questi strumenti per ridurre l'attrito paga una superficie di attacco più ampia e meno trasparente.

Il danno immediato è economico, ma l'effetto di secondo ordine tocca la reputazione del software open source. I manutentori devono ora convincere le comunità che la violazione non riguardava il codice dell'agente, bensì l'infrastruttura della piattaforma. Per molti sviluppatori, però, la distinzione è debole: quando un progetto open source offre anche servizi online per semplificare l'onboarding, la fiducia percepita si estende a tutta l'operazione. Un solo episodio può spingere parte degli utenti verso prodotti commerciali con team di sicurezza dedicati, non necessariamente più sicuri, ma con una responsabilità più chiara.

C'è poi il paradosso degli strumenti AI che rifiutano di analizzare il payload malevolo. Molti assistenti basati su LLM hanno filtri che bloccano contenuti pericolosi, ma questo crea un cortocircuito nell'incident response: chi sta cercando di difendersi non può usare gli stessi modelli per capire come funziona l'attacco. È un incentivo concreto a spostare l'analisi di sicurezza verso modelli self-hosted o configurazioni senza policy esterne, dove l'ispezione del codice ostile non dipende da una decisione preventiva del fornitore. Non è una raccomandazione, ma un cambiamento di incentivi per chi fa sicurezza in tempo reale.

Per chi valuta deployment on-premise, il caso OpenCode solleva un punto preciso: la sovranità non riguarda solo dove girano i modelli, ma dove vivono le credenziali e chi può leggere i log. Un agente eseguito interamente in locale con chiavi API limitate e rotazione automatica riduce il rischio di compromissione centralizzata, anche se sposta la complessità sulla gestione interna. AI-RADAR esplora questi trade-off nei suoi framework su /llm-onpremise, ma la scelta dipende dal modello di rischio di ciascuna organizzazione. Il nodo non è se OpenCode riuscirà a recuperare fiducia, ma se l'ecosistema degli agenti di coding accetterà di spostare la sicurezza dalle piattaforme alle credenziali distribuite.