OpenCode의 서비스 종료된 콘솔이 사용자들의 AI 제공업체 키를 유출했다 — 그리고 일부 요금은 이미 청구된 상태였다

Anomaly(구 SST)가 만든 오픈소스 코딩 에이전트 OpenCode는 2026년 10월 17일무단 제3자가 폐기 절차를 진행 중이던 레거시 Console 시스템에 접근했으며, 일부 사용자 워크스페이스에 저장된 타사 AI 제공업체 키가 "노출되었을 수 있다"고 밝혔다 — 그중에는 O​penAI, A​nthropic, G​oogle 자격 증명도 포함된다. OpenCode는 이번 침해가 약 1.4%의 Console 사용자, 구체적으로는 "외부 제공업체를 연결한 일부 사용자"에게 영향을 미쳤으며 영향을 받은 모든 계정에 이메일을 보냈다고 밝혔다. 회사는 이 사건을 "대규모 증류 공격"이라고 설명했다. 하루 만에 이름이 공개된 사용자들은 해당 키가 사용되었다고 기자들에게 말했다. Dealroom은 한 사용자의 O​penAI 키에서 $281, 같은 사용자의 A​nthropic 키에서 $168, 다른 계정에서 $700 이상, 세 번째 계정에서 $1,700의 청구가 발생했다고 보도했다.

그 간극 — 백분율에 관한 회사 발표와 청구서를 들고 있는 사용자들 사이의 간극 — 이 이 기록의 전부다. 공개된 내용은 짧고, 기술적 설명은 없으며, 재무적 설명은 청구서를 받은 사람들에게서 나온다.

OpenCode가 자기 말로 한 말

회사의 공개 게시글은 세 문장으로 되어 있었다. Hacker News와 OfficeChai가 인용한 텍스트에 따르면, 게시글에는 "어젯밤 우리는 OpenCode Console 사용자의 1.4%에 영향을 준 대규모 증류 공격과 관련된 보안 침해를 겪었습니다"라고 적혀 있었다. "우리는 오늘 아침 이메일로 그들 모두에게 알렸습니다. 이메일을 받지 못했다면 영향을 받지 않은 것이며, 이는 외부 제공업체가 연결된 일부 사용자들이었습니다."

OpenCode 팀이 게시하고 Hacker News에 재게시된, 조금 더 긴 커뮤니티 공지에서는 회사가 설명한 범위 내에서 그 메커니즘을 다음과 같이 덧붙였습니다. “당사는 폐기 절차를 진행 중이던 레거시 시스템에 대한 무단 접근을 확인했습니다. 귀하의 워크스페이스에 저장된 타사 제공업체 키(예: O​penAI, A​nthropic)가 노출되었을 수 있습니다. 해당 제공업체의 대시보드를 통해 해당 키를 폐기하고 교체하고, 이를 사용하는 모든 애플리케이션을 업데이트하며, 최근 사용 내역에서 예상치 못한 활동이 있는지 검토해 주세요. 이런 일이 발생해 죄송하며, 업데이트가 있으면 후속 안내드리겠습니다.”

회사가 공개하지 않은 것은 공개한 것만큼 중요하다. 2026년 10월 19일 현재 근본 원인도, 레거시 시스템에 어떻게 도달했는지에 대한 설명도, 침입자가 얼마나 오랫동안 접근했는지에 대한 진술도, 1.4%라는 수치 뒤에 있는 영향받은 계정의 절대적인 수치도, 총 손실 규모도, 환급 정책도, 사후 분석도 없다. OpenCode는 당시 "사건이 진행 중이어서 현재로서는 더 자세한 내용을 공유할 수 없다"고 말했다. CyberSecurityNews는 같은 누락 사항들을 지적하고, OpenCode가 노출된 자격 증명과 증류 활동을 연결하는 기술적 증거를 전혀 제공하지 않았다고 덧붙였다.

타임라인, 그리고 보고 내용이 서로 엇갈리는 지점

OpenCode의 게시물은 2026년 10월 17일자로 작성되었으며, 침해가 "지난밤"에 발생한 것으로 언급하여 침입 시점을 10월 16일에서 17일 사이 밤사이로 놓고 있다. 회사 성명서의 Hacker News 제출물에는 10월 17일 18:01 UTC 타임스탬프가 찍혀 있다. 이틀 후, 공동 창업자 Dax Raad는 공격자들이 "지난 48시간 동안 우리 시스템을 공격하려고 멈추지 않고 시도해 왔다"고 말했으며, "내 개인 계정도 지금 공격받고 있다"고 하면서 이를 "AI 기반 해킹이 등장한 완전히 새로운 세상"이라고 묘사했다(OfficeChai).

알림 시점은 공개된 보도들이 서로 엇갈리는 유일한 부분이다. OpenCode는 영향을 받은 사용자들에게 “오늘 아침” 통지했다고 밝혔다. Startup Fortune은 Anomaly가 10월 17일 영향을 받은 사용자들에게 이메일을 보냈다고 보도했지만, 통지가 17일 아침에 나갔는지 18일 아침에 나갔는지에 대해서는 소식통들이 엇갈린다고 언급했다. OpenCode와 Raad의 게시물을 모두 10월 17일로 날짜를 매긴 OfficeChai는 커뮤니티 성명과 이메일을 10월 18일 아침으로 배치했다. Startup Fortune은 또한 사용자들에게 10월 17일까지 거슬러 올라가는 청구 및 사용 로그를 검토하라고 전했다고 보도했는데, 이 기준 시점은 중요하다. 왜냐하면 일부 사용자는 첫 통지가 도착하기 전에 설명되지 않은 청구를 보고했기 때문이다.

무엇이 저장되었고, 왜 중요했는가

이번 노출은 계정, 구독, 연결된 제공자 자격 증명이 저장되는 호스팅 대시보드인 OpenCode Console에 국한된 것이며, 오픈소스 CLI 단독의 문제는 아니다. Dealroom은 Console이 사용자의 제공자 키를 OpenCode 서버에 저장한다고 보도했으며, OpenCode가 75개 이상의 제공자 모델을 지원하고 사용자가 자신의 비공개 API 키를 직접 제공한다고 전했다. 바로 이 설계 때문에 하나의 내부 시스템 침해가 한 번에 세 곳의 별도 AI 연구소가 보유한 자격 증명 침해로 번졌다.

OpenCode는 O​penAI, A​nthropic, G​oogle을 키가 조사 범위에 포함된 제공업체로 지목했으며, 세 곳 모두와 "문제를 해결하기 위해" 협력 중이라고 밝혔다. 지금까지 보고된 제공업체 측 조치는 단 하나뿐이며, 그것도 간접적으로 전해졌다. Dealroom은 A​nthropic이 영향을 받은 C​laude API 키를 폐기했다고 밝혔다고 보도했다. 이 기사를 위해 검토한 보도에서는 O​penAI와 G​oogle 모두 직접 인용되지 않았으며, 어떤 제공업체도 자체 성명을 발표하지 않았다.

사용자들이 도착했다고 말한 청구서들

재정적 피해는 OpenCode의 공개 내용에서 나온 것이 아니라 — 회사는 손실 규모를 발표하지 않았다 — 기자들과 이야기한 개별 사용자들로부터 나온 것이다. 10월 18일 게시된 Dealroom의 보도는 세 명을 거명한다:

• Colin Parsons의 OpenAI 키가 해당 매체의 표현대로 '두들겨 맞아' 청구된 금액은 $281이며, Anthropic 키에 청구된 금액은 $168.

• Preston Zeller의 손실을 보고한 $1,700.

• 프란시스코 지안카렐리는 700달러 이상이 중단하기 전에 OpenAI 사용료로 청구된 것을 확인했습니다.

Cryptobriefing은 개인 이름을 밝히지 않은 채 청구액이 "수백 달러까지 치솟고 있다"고 설명했으며, 원본 자료에는 무단 조회로 발생한 비용이 어떻게 처리될지 명시되어 있지 않다고 분명히 밝혔다. 이틀이 지난 지금도 마찬가지다. 환급 약속은 공개되지 않았다.

추가로 두 가지 범주의 피해가 주장되었으나 검증되지는 않았다. Startup Fortune은 한 사용자가 사건 후 Google이 자신의 Google Cloud 프로젝트를 정지시켰다고 말했고, 또 다른 사용자는 이와 관련된 약관 위반으로 OpenAI가 자신의 계정을 삭제했다고 말했다고 보도했다. 이 매체는 해당 게시물들이 X의 개별 게시물이며 검증할 수 없다고 밝혔다. 별도로, OpenCode 자체의 GitHub 이슈 트래커에는 회사의 “이메일을 받지 못했다면 영향을 받지 않은 것”이라는 설명과 어긋나는 사용자 제출 보고서들이 있다. 10월 18일에 제출된 이슈 #56833은 한 구독자의 것으로, 자신의 워크스페이스에는 OpenAI, Anthropic, Google 키가 전혀 없었고 OpenCode Go 키만 있었는데도 만료일이 설정되지 않은 채 키가 폐기되었으며, 아직 공개되지 않은 보상 정책을 요구한다고 말한다. 같은 날 제출된 이슈 #56703은 10월 17일부터 “Workspace access restricted”가 표시되는 워크스페이스들을 보고하며, 해당 사용자는 침해 이메일을 받지 못했다고 말한다. 이는 확인되지 않은 사용자 보고이지 회사 발표는 아니지만, 교정 조치가 이메일 발송 대상 외의 계정에도 영향을 미쳤음을 시사한다.

"증류 공격": 그 표현이 하는 역할

OpenCode의 프레이밍은 동기 주장이지 취약점 설명이 아니며, 회사는 이를 뒷받침할 어떤 것도 공개하지 않았다. Cryptobriefing은 겉으로 드러난 목적을 컴퓨팅 비용이나 원래 연구 비용을 지불하지 않고 경쟁 모델을 훈련하는 데 사용될 수 있는 고품질 모델 출력을 수집하는 것으로 설명했고, A​nthropic이 2026년 2월에 유사한 증류 방법을 설명한 바 있다고 언급했다. 그것은 의도에 대한 그럴듯한 재구성이다. 누가 이 일을 했는지, 무엇을 실행했는지에 대한 증거는 아니다.

이 주장은 연구자와 사용자들로부터 즉각적인 회의론을 불러일으켰다. Startup Fortune은 연구자 네이선 램버트가 “증류”가 다운스트림 모델을 훈련하는 것인지 “아니면 불법적으로 획득한 토큰을 사용하는 다른 기이하고 수상한 패턴”인지 물었다고 인용했으며, 한 사용자가 “고객 키가 유출됐다. 아마 증류에 사용됐을까? 이것은 증류 공격이 아니다”라고 반박한 것을 인용했다. Hacker News에서는 논평자들이 같은 점을 강조했다 — 즉, 이 프레이밍은 벤더들이 지난 한 해 내내 증류가 상업적 존립을 위협하는 것이라고 주장해 온 회사에서 나온 것이며, 어떤 쿼리 로그도, 트래픽 분석도, 귀속 분석도 공개되지 않았다는 점이다. 이 구분은 나중에 기록을 읽는 누구에게나 중요하다: 자격 증명 유출은 입증되었고, 그 배후의 목적은 주장된 것일 뿐이다.

공개 이후 무엇이 달라졌나요?

OpenCode가 영향받은 사용자에게 내린 지침은 OpenAI, Anthropic, Google 대시보드를 통해 연결된 모든 제공자 키를 폐기하고 교체하며, 해당 키를 사용하는 모든 애플리케이션을 업데이트하고, 예상치 못한 활동이 있는지 제공자 사용량과 청구 내역을 검토하라는 것이었습니다. Startup Fortune은 해당 공지에서 추가 조언 하나를 보도했습니다. 유출 이메일의 링크를 사용하지 말고 제공자 대시보드로 직접 이동하라는 것입니다. 또한 사용자들이 10월 17일까지 거슬러 올라가 청구 로그를 확인하고, 도난당한 키로 인한 노출을 제한하기 위해 지출 한도를 설정하라는 안내를 받았다고 보도했습니다.

Console 측에서는 가시적인 교정 조치가 공개가 아니라 권한 회수와 제한이었다. 사용자들은 계정에서 키가 사라지고 워크스페이스가 잠겼다고 보고한다. OpenCode는 레거시 시스템에서 무엇을 변경했는지, 해당 시스템이 이제 완전히 종료되었는지, 또는 접근을 어떻게 탐지했는지 공개하지 않았다. 보안 업체 S​tep Security는 하루 만에 대응 지침을 발표했다. 여기에는 개발자 머신에서 연결된 공급자가 기록되는 로컬 자격 증명 파일 경로가 포함되며, 자사 도구가 CLI 설치를 식별할 수는 있지만 개발자가 Console 계정을 보유하고 있는지 또는 어떤 공급자가 연결되어 있는지는 판단할 수 없다고 언급했다. 그 한계 자체가 하나의 발견 사항이다: 영향 범위는 클라이언트 측에서 재구성할 수 없다.

무엇이 확립되었고, 무엇이 그렇지 않은가

OpenCode 자체의 진술과 여러 독립적 보도를 근거로 확인된 사항: 무단 제3자가 레거시 Console 시스템에 접근했고; OpenAI, Anthropic, Google의 타사 제공자 키가 노출되었을 수 있으며; 외부 제공자와 연결된 하위 집합인 Console 사용자의 약 1.4%가 이메일로 통지받았고; 회사는 세 제공자와 협조하고 있으며; Dealroom에 따르면 Anthropic은 영향을 받은 Claude 키를 폐기했고; 이름이 거론된 사용자들은 수백 달러에서 수천 달러 초반에 이르는 무단 청구를 보고했다.

확인되지 않은 사항: 1.4%가 몇 개의 계정을 의미하는지; 침입자가 어떻게 들어왔는지; 얼마나 오랫동안 접근 권한을 가졌는지; 노출된 모든 키가 사용되었는지; 쿼리가 무엇을 위한 것이었는지; 제공업체 키 외에 다른 데이터가 유출되었는지; 총 손실이 얼마였는지; 그리고 누군가가 보상을 받게 될지. OpenCode는 사후 분석 보고서를 게시하지 않았으며, 사건이 "진행 중"이라는 성명은 공식적으로 철회되지 않았다.

여기서의 교차 확인은 폭넓지만 한 가지 특정한 면에서 얕습니다. 48시간 이내에 이 공개 내용은 CyberSecurityNews, OfficeChai, Startup Fortune, Notebookcheck, Dealroom, Cryptobriefing, The420.in, TOKENPOST, FourWeekMBA, BigGo Finance 및 S​tep Security에 의해 보도되었고, OECD.AI Incidents and Hazards Monitor자 사건을 나열하며2026년 10월 17일, 피해를 경제/재산으로, 영향을 받은 AI 원칙을 견고성 및 디지털 보안으로 분류합니다. 그것이 교차 확인하는 것은 그 공개가 실제로 있었고, 그 문구가 보도된 그대로이며, 금전적 피해가 다른 이들에 의해 진지하게 받아들여졌다는 점입니다. 그것은 OpenCode의 침입에 관한 내부 설명을 독립적으로 검증하지는 않습니다. 어떤 매체도 그러한 설명을 입수한 것으로 보이지 않기 때문입니다. 기록상 규제 기관의 통지도 없고 O​penAI나 G​oogle의 공급업체 권고도 없습니다.

아카이브가 그것을 정리하는 방식

아카이브는 이를 인시던트로 기록합니다 — 예측이 아니라 실제로 발생한 AI 관련 사건이며, 심각도는 높음, 신뢰도 등급은 A, real_harm은 true로 기록되었고 분쟁 없음입니다. 유형 태그는 CRED 및 INFRA입니다: 에이전트 플랫폼 인프라의 자격 증명 침해입니다. 분쟁 없음 플래그는 사건에 관한 것이지 증류 프레이밍에 관한 것이 아닙니다; 아카이브는 OpenCode의 동기 주장을 확정된 결론으로 취급하지 않으며, 독자도 그렇게 해서는 안 됩니다.

이 기록을 달러 수치 이상으로 주목할 만하게 만드는 두 가지가 있다. 첫째는 구조적 측면이다. 경쟁 관계에 있는 세 연구소에 대한 고객의 키를 자사 서버에 저장하는 에이전트 플랫폼은 그렇지 않았다면 각 고객이 떠안았을 위험을 집중시키며, 시스템을 폐기한다고 해서 그 안의 자격 증명까지 폐기되는 것은 아니다. 둘째는 증거적 측면이다. 회사 자체의 설명은 비율 하나, 레거시 시스템, 그리고 동기로 이루어져 있고, 청구서는 사용자들이 제공한 것이다. 이는 심각성에 걸맞기에는 빈약한 기록이며, 대부분의 이런 공개가 여전히 취하는 형태이기도 하다.

이 기록은 다른 문서화된 에이전트 사고들과 함께 AI 사고 아카이브에 수록되어 있으며, 각 항목에는 자체 출처, 심각도, 신뢰도 등급 및 이의 제기 플래그가 있습니다.