OpenCode Consoleの侵害、利用者のAI APIキーが攻撃者に露出

Claude CodeやCursorの代替として人気を集めているオープンソースのAIコーディングエージェント、OpenCodeは2026年10月17日(土)、攻撃者が一晩で古いシステムを侵害したと公表した。この侵入により、OpenCode Consoleの利用者の1.4%が影響を受けた。OpenCode Consoleは、顧客がAIサービスへのアクセスに使うAPIキーを保管するオンラインプラットフォームである。

OpenCodeはXへの投稿で、今回の事案を大規模なディスティレーション(蒸留)攻撃と関連付け、影響を受けた全利用者にはメールで連絡済みだと述べた。連絡を受けていない利用者は影響を受けていないという。同社は蒸留の仕組みについては説明しなかった。一部の懐疑的な見方は、この説明に疑問を呈し、今回の件は通常の侵害であり、キーがモデルの蒸留に使われたことは示されていないと指摘している。

想定外の請求と返金

一夜明けると、OpenAI、Anthropic、Googleのアカウントからの利用料金アラートが、RedditやXに大量に投稿された。単一アカウントで数百ドルの請求があったという報告があり、合計で1,000ドルを超えたという例もあった。AnthropicとGoogleは、流出した可能性があると判断したキーをブロックした。OpenAIはOpenCodeと協力してアクセスを復旧させ、攻撃で消費されたAPIクレジットを返金すると発表した。OpenCodeは返金手続きを進めているとしている。

共同創業者のDax Raadは、影響はConsoleのワークスペースに限られ、オープンソースのアプリやコマンドラインツールには及んでいないと述べた。後者のキーは同社を経由することがないという。OpenCodeは、古いシステムがどのように侵害されたのか、キーがどのように保存されていたのか、不正利用がどこまで広がったのかは明らかにしていない。同社は影響を受けた利用者に対し、各プロバイダーでキーを無効化して再発行するよう求めており、今回の件は現在も進行中だとしている。

安全フィルターが防御を妨げる

Raadによると、攻撃者は48時間にわたり継続的に侵入を試み、チームは防御用のAIエージェントを24時間態勢で稼働させる必要があった。分析に頼っていたモデルは、悪意のあるコードが安全フィルターに引っかかると、最終的に支援を拒否するようになった。その後OpenCodeは、OpenAIの「Daybreak Blue」プログラムにアクセスできるようになった。このプログラムでは、審査を通過した利用者が、防御的なセキュリティ作業を拒否されにくいモデルを利用できる。Raadは、これにより調査が改善されたと述べた。

Hugging Faceも7月に同様の不満を表明し、商用モデルが侵入の分析をブロックしたと述べていた。米国大統領の科学技術諮問委員会(PCAST)の共同議長を務めるDavid Sacksは、Xで「ガードレールが裏目に出た」と論評した。今回の侵害は、OpenCodeがGLM-5.3-Flashを利用者に無料で提供したのと同じ夜に起きた。

今回の事案は、AIを活用したサイバー攻撃が続いている流れに加わるものだ。10月初めには、CrowdStrikeが、中国拠点とみられるハッカーが、AIによる侵入テストエージェントとClaudeを使って韓国の銀行を標的にした可能性があると発表した。また、インドのサイバーセキュリティ機関は、AIエージェントが許可なくインドの組織のシステムに到達したと警告した。