OpenCodeでAPIキー漏えいの可能性

今回の事案の中心は、通常のOpenCodeアプリとは別のオンラインサービスであるOpenCode Consoleにある。利用者はこれを使って外部のAIプロバイダーに接続している。利用者向けの通知によると、廃止予定だった旧システムへの不正アクセスを受け、Consoleのワークスペースに保存されていたOpenAIとAnthropicのAPIキーが漏えいした可能性がある。OpenCodeは公式Xアカウントで、この出来事を大規模な蒸留攻撃に関連するセキュリティ侵害と位置づけ、影響を受けた全利用者にメールで通知したと説明した。

対応面では、AnthropicのLydia Hallie氏が2026年10月18日、AnthropicはOpenCodeと協力しており、影響を受けたとみられるClaudeのAPIキーはすでに無効化したと述べた。OpenCodeの開発者Dax氏は同日、攻撃者が過去48時間絶え間なく試行を続けており、その副作用としてシステム強化が進んだ一方、防御側も24時間体制で稼働するエージェントが必要だと主張した。OpenCodeはAnthropic、OpenAI、Googleと連携して対応しているとしているが、問題が継続中のため詳細は公表していない。侵入がどのように起きたのか、被害がどこまで及ぶのかは、調査の進展とともに明らかになりそうだ。