Scommetto che stavate dormendo bene, ma la sicurezza informatica ha deciso che non era la notte giusta per lasciarvi tranquilli.
Se siete tra quelli che passano la serata a debuggare un kernel o a cercare di far girare un modello LLM locale su un hardware che scotta più di un server in un data center senza condizionamento, la notizia di stamattina vi farà venire un leggero prurito alle mani. OpenCode, uno di quei servizi che sembrano l’unione sacra tra comodità e potenza, ha appena ammesso che qualcuno è riuscito a fare un bel salto dentro la loro console.
Il colpevole? Quello che chiamano, con un termine che sembra uscito da un manuale di chimica per nerd, un «large scale distillation attack». Per chi non ha passato le ultime notti a studiare le vulnerabilità dei modelli generativi, parliamo di un attacco che mira a estrarre conoscenza o dati attraverso processi di raffinamento e interrogazione sistematica. In parole piente: hanno drenato informazioni come se stessero cercando l’oro in un fiume di bit.
L’impatto dichiarato è l’1.4% degli utenti. Una percentuale che, a prima vista, sembra quasi rassicurante, un po’ come dire che «è successo solo un piccolo incidente, solo un po’ di fumo, niente di che». Ma noi sappiamo come funziona la catena del montaggio: se le tue credenziali sono nel sacco, il danno non è solo nel database di OpenCode, ma in tutto quello che quelle credenziali possono toccare.
La cosa che mi fa venire voglia di lanciare il mio router dalla finestra è la gestione della cosa. OpenCode ha subito annunciato che sta collaborando con i giganti del settore: Anthropic, OpenAI e Google. È il classico pattern del «siamo tutti sulla stessa barca», dove i fornitori di infrastruttura si stringono la mano mentre i dati degli utenti volano via. È una dinamica che ci ricorda quanto sia fragile l’ecosistema quando deleghiamo la nostra sicurezza e la nostra logica a una costellazione di API proprietarie che non controlliamo mai davvero.
Per noi che viviamo di open source e di controllo totale, vedere queste dinamiche è un promemoria brutale. Non importa quanto sia figa l’integrazione o quanto sembri fluido il workflow: se la tua sicurezza dipende da un castello di carte costruito su servizi di terze parti che si parlano tra loro, prima o poi qualcuno troverà il modo di far crollare tutto.
Se siete tra i fortunati (o sfortunati) coinvolti, cambiate tutto. Subito. E magari, pensateci: la prossima volta che potete far girare qualcosa in locale, senza dipendere da una console che si connette a tre diversi provider americani, fatelo. La libertà non è solo poter modificare il codice, è anche non dover controllare l’email ogni mattina sperando che non ci sia scritto «Le tue password sono ora sul dark web».