OpenCode Consoleに侵入保存APIキーで不正課金

オープンソースのAIコーディングエージェントOpenCodeで、利用者がAPIキーを預けるWebサービス「OpenCode Console」が攻撃を受けました。盗まれたキーでAIサービスが勝手に使われ、数百ドル、中には1,000ドルを超える請求を受けた開発者もいます。影響を受けたのはConsole利用者の1.4%で、手元で動かすCLIや本体アプリは無関係と同社は説明しています。AIのAPIキーが「そのまま現金になる鍵」であることを改めて示した事件です。

背景と文脈
技術/ビジネス面
これからどうなるか
まとめ
参考リンク

背景と文脈

OpenCodeは、Claude CodeやCursorと競合するオープンソースのコーディングエージェントです。本体はターミナルで動き、利用者が自分のAPIキーで各社のモデルを呼び出します。一方、OpenCode ConsoleはWeb上のワークスペースで、一部の利用者はここにキーを保存していました。

TechCrunchの報道によると、侵入はGLM-5.3-Flashを無料化したのと同じ夜に起きました。OpenCodeは10月17日（土）の朝に対象者へメールで通知し、X上で公表しています。共同創業者のDax Raad氏は、攻撃は48時間休みなく続いたと述べました。報道時点でも対応は続いていました。

AIのAPIキーは、盗まれるとすぐに課金へ直結します。クレジットカード番号ほど警戒されていない一方、使われた分は持ち主の請求に積み上がります。夜のうちにOpenAI、Anthropic、Googleの利用額アラートが一斉に鳴ったという報告もありました。

技術/ビジネス面

a close up of a keyboard — Photo by 2H Media on Unsplash

侵入されたのは、Consoleの古いシステムでした。どこから入られたのか、キーがどう保存されていたのかは明らかにされていません。OpenCodeは今回を「大規模な蒸留攻撃」と表現しました。蒸留とは、強いモデルの出力を大量に集めて別のモデルを学習させる手法です。ただしAI研究者のNathan Lambert氏らは、単純な侵害であり蒸留目的は証明されていないと反論しています。

モデル提供各社の対応は早めでした。AnthropicとGoogleは流出が疑われるキーを無効化しました。OpenAIはOpenCodeと協力してアクセスを戻し、攻撃で使われた分を返金すると表明しています。OpenCode自身も不正請求の返金を進めているとしています。

対応の途中で、もう一つの問題も表面化しました。OpenCodeは防御用のAIエージェントを24時間動かしていました。ところが攻撃コードが安全フィルターに触れると、分析を拒まれたとRaad氏は明かしています。7月にはHugging Faceも侵入ログの分析をAIに断られたと報告しており、ガードレール（AIが危険な依頼を拒む安全装置）が防御側の足を引っ張る構図が続いています。

これからどうなるか

開発ツールに鍵を預ける設計そのものが、改めて問われます。OpenCodeも本体のCLIでは「キーは自社に届かない」と強調しており、手元保存とクラウド保存でリスクの大きさが変わることがはっきりしました。今後は、短命のトークンや提供元側での利用範囲の制限が広がると見られます。

開発者がすぐできる対策は3つあります。各社の管理画面で月の利用上限と通知を設定すること。ツールごとに別のキーを発行し、漏れたときに1本だけ止められるようにすること。そして、使っていないキーを定期的に失効させることです。CIやエージェントに渡すキーも同じ考え方で切り分けておくと、被害を小さく抑えられます。