OpenCode Consoleの侵害により一部ユーザーのAIプロバイダーキーが流出

10月16日の夜、不正なアクターがOpenCodeのインフラ内にあるレガシーシステムへのアクセス権を獲得しました。同社は、この侵害により、オプションのホスト型ワークスペースサービスである「OpenCode Console」にユーザーが保存していたサードパーティ製AIプロバイダーのキーが漏洩した可能性があると発表しました。

何が起きたのか

OpenCode Consoleでは、チームがOpenAI、Anthropic、Googleなどのプロバイダー用の独自APIキーを保存できます。このサービスはこれらのキーを使用してそれぞれのモデルを呼び出し、チームメンバーが認証情報を直接扱わずにAIツールを利用できるようにします。今回の侵害は、外部プロバイダーとリンクしていたConsoleユーザーのうち1.4%に具体的に影響を与えました。10月17日の朝、OpenCodeは影響を受けたユーザーに対し、「対応必須：プロバイダーキーの潜在的な侵害」という件名でメールを送信し、キーの失効および再発行を指示しました。このメールを受け取らなかったユーザーは影響を受けていません。

侵害されたのは、Consoleインターフェースに直接貼り付けられたキーです。ローカルSQLiteデータベースに存在するOpenCodeコマンドラインまたはデスクトップアプリにローカル保存されたキーは、このインシデントの対象ではありませんでした。共同創業者のDax Raad氏はX上で、「侵害されたのはOpenCodeそのものではなく、OpenCode Consoleである」と明確にし、ローカルに保存されたキーはサーバーに到達しないことを強調しました。しかし、ホスト型のConsoleを使用している場合、プロバイダーキーはベアラー資格情報として機能するため、露出の影響は重大です。コピーを持つ者は誰でも、プロバイダーがキーを失効させるまで、所有者のアカウントに対して課金対象のリクエストを実行できます。

Consoleインターフェースからキーを削除しても、プロバイダーレベルでの失効は行われず、Console内で設定された予算制限も悪用を防ぐものではありません。これは、Consoleが自社のゲートウェイを通過するリクエストのみを監視しているためです。攻撃者が生のキーを保持している場合、Consoleを完全に回避して使用できます。OpenCodeはこのインシデントを継続中のものであり、「大規模な蒸留（distillation）攻撃」に関連していると説明しましたが、両者の関連性や関与した特定のレガシーシステムについては詳細を明らかにしていません。10月18日までOpenCodeのシステムへの攻撃が続いたため、同社は防御体制を強化しました。

メカニズム

主要なAIプロバイダーのAPIキーはベアラートークンとして機能するため、キーの所有は関連するアカウントの機能および請求に対する完全なアクセス権を付与します。OpenCode Consoleのモデルでは、ユーザーはシームレスなチームアクセスを促進するためにこれらのキーをプラットフォームに預けます。レガシーシステムが侵害された際、保存された秘密情報を保護するセキュリティ境界が破られました。キーがユーザーのマシンに残るローカルストレージとは異なり、ホスト型ストレージはリスクを集中させます。攻撃者がこれらのキーを抽出すると、OpenCodeプラットフォームとは独立してそれらを使用できます。

蒸留攻撃とは、競合モデルの訓練のために大量のモデル出力を抽出することを指します。こうしたキャンペーンはしばしば、偽アカウントのネットワークや盗まれた認証情報に依存しています。OpenCodeはこの侵害をそのような活動に関連づけましたが、ユーザーにとっての直接的な脅威は財務的・運営的なものです。盗まれたキーは犯罪市場で転売されたり、高額な請求を生じさせたりするために使用される可能性があります。キーがベアラー資格情報であるため、ソース側での失効だけが有効な対策であり、侵害されたサービスから単に削除するだけでは不十分です。

重要な詳細

• 侵害は10月16日に発生し、外部プロバイダーとリンクしていたOpenCode Consoleユーザーの1.4%に影響を与えました。
• リスクがあったのはホスト型Consoleに保存されたキーのみで、CLIやデスクトップアプリ内のローカルキーは影響を受けませんでした。
• 影響を受けたユーザーは10月17日にメールを受信し、APIキーの失効および再発行を指示されました。
• プロバイダーキーはベアラー資格情報であるため、キーがコピーされている場合、Consoleからの削除だけで不正使用を止めることはできません。
• 一部のユーザーは不正請求を報告しており、OpenAI、Anthropic、Googleのアカウント間で168ドルから1,700ドルまでの損失が発生しています。
• OpenCodeは、このインシデントが大規模な蒸留攻撃に関連しており、10月18日までシステムへの侵害試行が続いていたと述べました。

なぜ重要なのか

ホスト型AIサービスに依存するエンジニアリングチームにとって、このインシデントは機密性の高い認証情報を集中管理することのリスクを浮き彫りにします。プラットフォームがAPIキーを保存する場合、そのセキュリティ体制に完全に依存することになります。コア運用から隔離されていても、レガシーシステムの侵害はユーザーデータを危険にさらす可能性があります。これは、秘密情報がどこにあり、誰がアクセスできるかを理解することの重要性を強調しています。また、基盤となる認証情報が盗まれた場合、サードパーティツールの予算制御による保護効果がないことも示しています。

個人ユーザーへの財務的影響は、こうした侵害の実質的なコストを示しています。数百ドルから数千ドルに及ぶ不正使用の報告がある中、攻撃者がAIキーを収集する動機は明白です。これらのキーは地下経済において価値ある資産であり、蒸留だけでなく一般的なリソース窃盗にも使用されます。チームは、AI APIキーをデータベースパスワードやクラウドアクセスキーと同じ深刻さで扱い、露出が直接的な財務責任につながることを認識する必要があります。

対処法

• プロバイダーのダッシュボード（OpenAI、Anthropic、またはGoogle）を通じて、OpenCode Consoleに保存されているすべてのAPIキーを直ちに失効させてください。
• 新しいキーを生成し、古い認証情報に依存していたすべてのアプリケーションやスクリプトを更新してください。
• 10月16日以降のプロバイダーレベルでの請求および使用ログを確認し、不正な活動がないかチェックしてください。
• 将来の漏洩による被害を最小限に抑えるため、AIプロバイダー側で直接支出制限とアラートを設定してください。
• 各ツールやサービスに一意のAPIキーを割り当て、使用状況を分離し、侵害が発生した場合の追跡を容易にしてください。
• 可能であれば、ホスト型キー保存から移行し、代わりにローカル環境変数や安全なシークレットマネージャーを使用することを検討してください。