OpenCode Consoleで侵害、保存されたAIプロバイダーのキーが流出のおそれ

オープンソースのAIコーディングエージェントであるOpenCodeは2026年10月17日、セキュリティ侵害がOpenCode Consoleユーザーの1.4%に影響したと発表しました。これらのユーザーがOpenAI、Anthropic、Google用に保存していたキーが流出した可能性があります。そこにプロバイダーのキーを保存していた人は、盗まれたものとして扱い、今すぐ新しいキーに替えてください。流出したキーがあれば、見知らぬ人が持ち主のアカウントで料金を発生させられるからです。

同社はUTCの18:08、Xへの投稿で侵害を公表しました。「昨夜、大規模な蒸留攻撃に関連するセキュリティ侵害が発生し、OpenCode Consoleユーザーの1.4%に影響しました」と同社は書いています。同社によると、影響を受けたユーザーにはすでにメールで知らせていました。

何が起きたのか

OpenCodeを開発しているのは、以前はSSTという名前だったAnomaly Innovationsです。このツールはターミナルで動き、AIモデルの助けを借りてコードを書きます。OpenCode Consoleは同社のWebアカウントシステムで、ユーザーはここで外部のモデルプロバイダー用の自分のキーを連携できます。

Startup Fortuneによると、侵害の通知には、同社が廃止を進めていた旧来のコンソールシステムを通じてキーが流出した可能性があると書かれています。同メディアによると、影響を受けたのは、アカウントに外部プロバイダーを連携していたユーザーだけです。

項目	OpenCodeまたは報道の説明
影響を受けたユーザー	OpenCode Consoleユーザーの1.4%
対象	外部のモデルプロバイダーを連携していたユーザー
危険にさらされたキー	OpenAI、Anthropic、Google
通知	10月17日、影響を受けたユーザーにメールで通知
キーの不正利用	同社はまだ確認できていない
その他のデータ	現時点で流出の証拠は見つかっていない

OpenCodeはConsoleの利用者数を公表していないため、1.4%が何人にあたるのかはわかりません。同社は、Anthropic、OpenAI、Googleと協力して対応にあたっているとしています。

原因についての2つの説明

同社は原因を2通りに説明しています。Xの投稿は、侵害を「大規模な蒸留攻撃」に結び付けています。Startup Fortuneの説明によると、メールは旧来のコンソールシステムを原因として挙げています。両方が同時に正しいこともありえます。しかしOpenCodeは、2つがどうつながるのか、侵入がいつ始まったのかを説明していません。

蒸留とは、既存のAIモデルの回答を使って新しいモデルを訓練することです。コピーする側は、強力なモデルに膨大な数のプロンプトを送り、その返答を学習データとして保存します。それには非常に多くの有料リクエストが必要で、その費用を誰が払うかはAPIキーで決まります。APIキーとは、プログラムがモデルプロバイダーを呼び出すときに使う秘密のコードです。プロバイダーは、リクエストのたびにキーの持ち主に課金します。

蒸留は今や、AIラボ同士の公然の争いになっています。Anthropicは10月15日、新たな防御策によってClaudeの蒸留を90〜99%減らしたと発表しました。

Startup Fortuneによると、一部のユーザーは、最初の通知が届く前に、OpenAIとAnthropicの請求に料金が計上されているのを目にしました。金額は示されていません。OpenCodeは、キーが不正利用されたかどうかはまだ確認できないとしています。

OpenCodeがユーザーに求めていること

Startup Fortuneは、同社の通知にある4つの手順を挙げています。

1. 影響を受けたキーをすべて無効化し、OpenAI、Anthropic、Googleのダッシュボードで新しいキーを作成します。ダッシュボードは、メール内のリンクからではなく、直接開きます。
2. 10月17日までさかのぼって、請求と利用状況のログを確認します。
3. 各プロバイダーのアカウントに利用額の上限を設定します。
4. 古いキーを使っていたすべてのパイプライン、CIジョブ、ローカル環境を更新します。CI（継続的インテグレーション）とは、コードのビルドとテストを自動で行うサービスです。

開発者にとっての意味

• まずキーを替え、調査はその後に。 OpenCode Consoleにプロバイダーのキーを保存したことがあるなら、メールが届いていなくても、今日中に替えてください。無効化したキーには費用がかかりません。盗まれたまま有効なキーは、多額の費用を生むおそれがあります。
• 利用額に厳格な上限を設けること。 3社のプロバイダーはいずれも、リクエストごとに課金します。月の上限を低くしておけば、盗まれたキーによる損失は青天井にならず、限られた額で済みます。
• ツールごとに別のキーを使うこと。 ツールごとにキーを1つにしておけば、どのキーが流出したかがすぐにわかります。そうすれば、ほかのアプリやCIジョブを止めずに、そのキーだけを無効化できます。
• ダッシュボードのアドレスは自分で入力すること。 通知は、メール内のリンクを使わないようユーザーに求めています。どの企業からの侵害通知メールでも、この助言に従ってください。
• エージェントが届く範囲を小さく保つこと。 Startup Fortuneは、OpenCodeのドキュメントにこのツールは「エージェントをサンドボックス化しない」とあり、権限の確認プロンプトを「UX上の機能」と呼んでいると指摘しています。同メディアは、こうしたエージェントをDockerや仮想マシンの中で動かすことを勧めています。今回の侵害は同社のサーバー上で起きましたが、教訓は同じです。どのAIツールにも、必要な分の秘密情報しか渡さないでください。
• 事後報告（ポストモーテム）に注目すること。 OpenCodeはまだ、旧来のシステムと蒸留攻撃がどうつながるのか、アクセスがいつ始まったのかを説明していません。説明があるまでは、Consoleに保存したキーはどれも他人の手に渡っている可能性があると考えてください。