OpenCodeの廃止されたコンソールがユーザーのAIプロバイダーキーを漏洩——しかも一部の請求はすでに発生していた

Anomaly（旧SST）が開発したオープンソースのコーディングエージェントOpenCodeは、2026年10月17日に、権限のない第三者が廃止手続き中だったレガシーConsoleシステムに到達したこと、および一部ユーザーのワークスペースに保存されていたサードパーティAIプロバイダーのキーが「漏えいした可能性がある」と公表した — その中にはO​penAI、A​nthropic、G​oogleの認証情報が含まれる。OpenCodeは、侵害の影響を受けたのは約Consoleユーザーの1.4%、具体的には「外部プロバイダーを連携していたユーザーの一部」であり、影響を受けたすべてのアカウントにメールを送ったと述べた。同社はこのインシデントを「大規模な蒸留攻撃」と表現した。1日以内に、実名のユーザーたちはキーが使用されたと記者に語っていた。Dealroomは、あるユーザーのO​penAIキーに281ドル、同じユーザーのA​nthropicキーに168ドル、別のアカウントに700ドル超、さらに3つ目のアカウントに1,700ドルの請求があったと報じた。

その隔たり——割合についての企業声明と、請求書を手にするユーザーとの間の隔たり——こそが、この記録の全貌だ。開示は短く、技術的な説明は欠けており、金銭に関する説明は請求を受けた人々によるものだ。

OpenCodeが自分自身の言葉で語ったこと

同社の公開投稿は3文の長さだった。「昨夜、大規模な蒸留攻撃に関連するセキュリティ侵害があり、OpenCode Consoleユーザーの1.4%に影響した」と、Hacker NewsとOfficeChaiで引用されたテキストには記されていた。「今朝、メールで全員に通知した。メールが届いていないなら影響は受けていない。影響を受けたのは、外部プロバイダーを連携していた一部のユーザーだった。」

OpenCode チームが投稿し、Hacker News に転載されたやや長めのコミュニティ通知は、同社が説明している範囲で、その仕組みを次のように補足していた。「廃止手続きを進めていたレガシーシステムへの不正アクセスを確認しました。ワークスペースに保存されていたサードパーティプロバイダーのキー（例：O​penAI、A​nthropic）が露出した可能性があります。該当するプロバイダーのダッシュボードからこれらのキーを失効させて交換し、それらを使用しているアプリケーションを更新し、最近の利用状況に予期しない活動がないか確認してください。このような事態が発生したことをお詫び申し上げます。更新情報があれば追ってお知らせします。」

企業が公表しなかったことは、公表したことと同じくらい重要だ。2026年10月19日時点で、根本原因はなく、レガシーシステムにどのように到達したかの説明もなく、侵入者がどれだけの期間アクセスしていたかの声明もなく、1.4%という数字の背後にある影響を受けたアカウントの絶対数も、総損失額も、補償方針も、事後分析もない。OpenCodeは当時、「インシデントは進行中であるため、現時点ではこれ以上詳細を共有できません」と述べていた。CyberSecurityNewsも同じ欠落を指摘し、さらに、漏えいした認証情報を蒸留活動に関連付ける技術的証拠をOpenCodeは提供していないと付け加えた。

タイムラインと、報告が分かれる点

OpenCodeの投稿は2026年10月17日付で、侵害を「昨夜」起きたものと述べており、侵入は10月16日から17日にかけての夜間に行われたことになる。同社声明のHacker Newsへの投稿には、10月17日18:01 UTCのタイムスタンプが付いている。2日後、共同創業者のDax Raadは、攻撃者が「過去48時間、絶え間なく我々のシステムを攻撃しようとしている」と述べ、「今は私の個人アカウントも攻撃されている」とし、これを「AIを活用したハッキングという全く新しい世界」と表現した（OfficeChai）。

通知のタイミングは、公表された説明が食い違う唯一の点だ。OpenCodeは影響を受けたユーザーに「今朝」通知したと述べた。Startup Fortuneは、Anomalyが10月17日に影響を受けたユーザーへメールを送ったと報じたが、通知が17日の朝に出たのか18日の朝に出たのかについては情報源によって異なると指摘した。OfficeChaiは、OpenCodeとRaadの投稿をいずれも10月17日付としていたが、コミュニティ声明とメールは10月18日の朝のこととした。Startup Fortuneはまた、ユーザーが10月17日までさかのぼって請求と利用ログを確認するよう指示されたと報じた。この基準日は重要だ。なぜなら、最初の通知が届く前に説明のつかない請求を報告したユーザーもいたからだ。

何が保存され、なぜそれが重要だったのか

今回の事案は、アカウント、サブスクリプション、連携されたプロバイダーの認証情報が存在するホスト型ダッシュボードであるOpenCode Consoleに固有のものであり、オープンソースのCLI単体に固有のものではない。Dealroomは、ConsoleがユーザーのプロバイダーキーをOpenCodeのサーバー上に保存しており、OpenCodeが75以上のプロバイダーのモデルをサポートし、ユーザーが自身のプライベートAPIキーを提供していると報じた。この設計が、単一の内部システムへの侵害を、3つの別々のAIラボに保持された認証情報の同時侵害へと変えた。

OpenCodeは、鍵が対象範囲に含まれていたプロバイダーとしてO​penAI、A​nthropic、G​oogleを挙げ、「問題を修復するため」3社すべてと協力していると述べた。これまでに報告されたプロバイダー側の唯一の対応は伝聞によるものだった。Dealroomは、A​nthropicが影響を受けたC​laude APIキーを失効させたと述べたと報じた。この記事のために確認した報道では、O​penAIもG​oogleも直接引用されておらず、どのプロバイダーも独自の声明を発表していない。

ユーザーが届いたと言っている請求書

金銭的損害は、OpenCodeの開示から引き出されたものではない——同社は損失額を公表していない——報道記者に語った個々のユーザーからのものだ。10月18日に公開されたDealroomの記事は、3人の名前を挙げている：

• Colin Parsonsは、同媒体の表現を借りればOpenAIのキーが「酷使」され281ドル分の請求を受け、Anthropicのキーでは168ドル請求された。

• Preston Zellerは$1,700の損失を報告した。

• Francisco Giancarelli氏は、700ドル以上のOpenAI利用料が発生しているのを確認し、利用を停止した。

Cryptobriefingは個人名を挙げずに、請求額が「数百ドルにまで膨らむ」と述べ、原資料には許可されていないクエリによる料金がどのように処理されるかが明記されていないと率直に述べた。2日経った今もそれは変わらない。返金の約束は公表されていない。

さらに2つのカテゴリーの被害が主張されているが、いずれも未確認である。Startup Fortuneは、あるユーザーが事件後にGoogleが自身のGoogle Cloudプロジェクトを停止したと述べ、別のユーザーは、これに関連する規約違反でOpenAIが自身のアカウントを削除したと述べたと報じた。同メディアは、これらはX上の個別投稿であり、確認できなかったとしている。別途、OpenCode自身のGitHub issueトラッカーには、ユーザーが投稿した報告が掲載されており、これは「メールを受け取っていなければ影響を受けていない」という同社の説明と相容れない。10月18日に投稿されたIssue #56833は、ある購読者によるもので、そのワークスペースにはOpenAI、Anthropic、Googleのキーは一切なく、OpenCode Goのキーだけがあったにもかかわらず、有効期限が設定されないままキーが失効したと述べ、まだ公表されていない補償方針を求めている。同日に投稿されたIssue #56703は、10月17日以降、ワークスペースに「Workspace access restricted」と表示されていると報告するもので、投稿者は漏えい通知メールを受け取っていないと述べている。これらは企業の声明ではなく未確認のユーザー報告だが、是正措置がメール通知された対象範囲外のアカウントにも及んだことを示唆している。

「蒸留攻撃」：そのフレーズは何をしているのか

OpenCodeの位置づけは動機に関する主張であり、脆弱性の説明ではない。また同社はそれを裏付けるものを何も公表していない。Cryptobriefingは、見かけ上の目的を、計算資源や独自研究の費用を払わずに競合モデルの訓練に使える高品質なモデル出力を収集することだと説明し、Anthropicが2026年2月に類似の蒸留手法について述べていたと指摘した。それは意図についてのもっともらしい再構成である。しかし、誰がこれをしたのか、何を実行したのかについての証拠ではない。

この主張は研究者やユーザーから即座に懐疑を招いた。Startup Fortuneは研究者Nathan Lambertの、「蒸留」とは下流モデルの訓練を指すのか「それとも違法に取得したトークンを使うための、何か別の奇妙で怪しげな手口」なのかという問いを引用し、「顧客の鍵が侵害された。おそらく蒸留に使われた？これは蒸留攻撃ではない」と反対するユーザーの声も引用した。Hacker Newsでは、コメント投稿者たちが同じ点を追及した——つまり、この枠組みは、そのベンダーらがこの一年、蒸留が商業上の存亡に関わる脅威だと主張してきた企業から出てきたものであり、クエリログもトラフィック分析も帰属分析も公表されていない、ということだ。後から記録を読む人にとってこの区別は重要だ。認証情報の侵害は立証されているが、その目的は主張されているにすぎない。

開示後に何が変わりましたか

OpenCodeが影響を受けたユーザーに示した指示は、OpenAI、Anthropic、Googleのダッシュボードを通じてリンクされたすべてのプロバイダーキーを失効させて交換し、それらのキーを使用しているすべてのアプリケーションを更新し、不審な活動がないかプロバイダーの使用状況と請求を確認することだった。Startup Fortuneは、通知にあったさらなる助言を報じた。それは、侵害メール内のリンクは使わず、プロバイダーのダッシュボードに直接アクセスすることだ。また、ユーザーには10月17日までさかのぼって請求ログを確認し、盗まれたキーによるリスクを抑えるために支出上限を設定するよう伝えられたことも報じた。

Console側では、目に見える是正措置は開示ではなく、失効と制限だった。ユーザーからは、アカウントからキーが消える、ワークスペースがロックされるといった報告が上がっている。OpenCodeは、レガシーシステムで何を変更したのか、そのシステムが現在完全に停止しているのか、アクセスをどのように検知したのかを公表していない。セキュリティベンダーのS​tep Securityは1日以内に対応ガイダンスを公開した。そこには、開発者マシン上でリンク済みプロバイダーが記録されるローカル認証情報ファイルのパスも含まれていた。一方で同社は、自社ツールではCLIのインストールを特定できるものの、開発者がConsoleアカウントを保有しているか、どのプロバイダーがそれにリンクされているかは判断できないと注記している。この制約自体が一つの発見事項だ。影響範囲はクライアント側から再構成することはできない。

何が確立されており、何がそうではないのか

OpenCode自身の声明および複数の独立した報道により確認されている事実：権限のない第三者がレガシーConsoleシステムに到達した。OpenAI、Anthropic、Googleの第三者プロバイダーキーが露出した可能性がある。Console利用者のうち約1.4%、すなわち外部プロバイダーを連携させている利用者層にメールで通知が行われた。同社は3社のプロバイダーと調整を進めている。Dealroomによれば、Anthropicは影響を受けたClaudeのキーを無効化した。また、実名で報告した利用者からは数百ドルから数千ドル弱の不正請求が報告されている。

未確定：1.4％が何アカウントを表すのか、侵入者がどう入り込んだのか、どれだけの期間アクセスしていたのか、漏えいした鍵がすべて使われたのか、クエリが何のためのものだったのか、プロバイダーの鍵以外のデータが持ち出されたのか、総損失額はいくらか、誰かに補償が行われるのか。OpenCodeは事後報告書を公開しておらず、このインシデントが「継続中」だとする声明も正式には撤回されていない。

ここでの裏付けは広範だが、ある特定の点で浅い。48時間以内にこの開示はCyberSecurityNews、OfficeChai、Startup Fortune、Notebookcheck、Dealroom、Cryptobriefing、The420.in、TOKENPOST、FourWeekMBA、BigGo Finance、S​tep Securityによって取り上げられ、OECD.AI Incidents and Hazards Monitorはこの事象を2026年10月17日付として掲載し、害を経済的/財産的損害、影響を受けたAI原則を堅牢性とデジタルセキュリティに分類している。これによって裏付けられるのは、開示が実際にあったこと、その文言が報じられたとおりであること、そして金銭的損害が他者によって真剣に受け止められたことだ。OpenCodeの侵入に関する内部説明を独立に検証するものではない。なぜなら、それを入手した媒体はないように見えるからだ。記録には規制当局の通知も、O​penAIやG​oogleによるベンダー勧告もない。

アーカイブがそれをどのように保存するか

アーカイブはこれをインシデントとして記録している — 予測ではなく、実際に発生したAI関連の事象 — 重大度は高、信頼度はA、real_harmはtrueとして記録され、異議なし。タイプタグはCREDとINFRA：エージェントプラットフォームのインフラにおける認証情報の侵害である。異議なしフラグは事象についてのものであり、蒸留という枠組みについてのものではない。アーカイブはOpenCodeの動機に関する主張を確定した知見として扱っておらず、読者もそうすべきではない。

この記録を金額だけにとどまらず残す価値があるのは、2つの理由による。1つはアーキテクチャ上の理由だ。競合する3つのラボに対する顧客の鍵を自社サーバー上に保存するエージェント基盤は、本来なら各顧客が負うはずのリスクを集中させており、システムを廃止しても、その内部の認証情報が廃止されるわけではない。もう1つは証拠面の理由だ。企業自身の説明は、割合と、レガシーシステムと、動機でできており、請求書はユーザーから提供されたものだ。これは深刻さに見合うには薄い記録であり、これらの開示の大半が今も取っている形でもある。

この記録は、AIインシデントアーカイブ内の他の記録済みエージェントインシデントと並んで掲載されており、各項目には独自の情報源、重大度、信頼度グレード、係争中フラグが付されています。