OpenCode Console の API キー流出: Console 利用者の1.4%に影響、不正利用の申告が続出

• 2026年10月18日 02:56（日本時間、UTC 10-17 17:56）、OpenCode の公式 X アカウント（@opencode）が「大規模な蒸留攻撃（large scale distillation attack）に関連するセキュリティ侵害があり、OpenCode Console 利用者の 1.4% に影響した」と公表しました。@opencode 第1報
• 続く 03:08（UTC 18:08）の追記で、影響は「外部プロバイダを連携していた一部の利用者」に限られ、「メールが届いていない人は影響を受けていない」と説明しています。また Anthropic・OpenAI・Google と協力して対処中であるとしています。@opencode 追記版
• 影響利用者に送られた通知メールの本文が Hacker News 上で第三者により引用されており、「廃止作業中のレガシーシステム（a legacy system that we were in the process of decommissioning）への不正アクセスを確認した」「ワークスペースに保存された第三者プロバイダのキー（例: OpenAI, Anthropic）が露出した可能性がある」「該当キーを失効・交換せよ」という内容です。Hacker News（メール引用）
• Reddit の r/opencode では、Anthropic で $400、Google で約 €200 の不正利用があったとする申告が出ています。いずれも本人の申告のみで、プロバイダ側・OpenCode 側による裏付けは取れていません。Reddit r/opencode
• 2026年10月18日朝（日本時間）、Anthropic の社員である Lydia Hallie 氏が X で「OpenCode と協力しており、影響を受けたと見られる Claude API キーを失効させた。OpenCode に鍵を保存していた人は、念のため新しい鍵を作ってほしい」と投稿しました。プロバイダ側で確認できた最初の対応表明ですが、Anthropic の公式アカウントや公式ブログによる発表ではありません。@lydiahallie 投稿
• この投稿への返信として、OpenCode 開発者の dax 氏が「今回の件は Console であって OpenCode 本体ではない」「ローカルの OpenCode で使う鍵は当社に届かない」と説明したと報じられています。公式発表はこの区別をしていません。（二次情報による引用で、投稿原文は本記事では直接確認できていません）redreamality 解説
• 運営は「インシデントは進行中（The incident is ongoing）のため、これ以上の詳細は共有できない」としており、侵入経路・発生時刻・露出した鍵の件数・影響利用者の実数はいずれも公表されていません。Cyber Security News 報道
• 公式ブログ・ステータスページ（status.opencode.ai）・GitHub セキュリティアドバイザリのいずれにも、本件のインシデント登録や技術的説明は 2026-10-18 時点で確認できません。正式なポストモーテムも未公開です。

X の投稿を見る

露出対象は「OpenCode Console のワークスペースに登録した、外部 AI プロバイダの API キー」です。OpenCode 自身のアカウント情報やソースコードではありません。

• OpenCode Console には、Anthropic・OpenAI・Google・AWS Bedrock などのアカウント（API キー）をワークスペースに登録し、Console のゲートウェイ経由でチームで共有利用する機能があります。
• 公式ドキュメントは「Console stores the credential and serves each provider through its gateway, so members use the models without ever seeing the provider key.（Console が認証情報を保管し、ゲートウェイ経由で各プロバイダを提供するため、メンバーはプロバイダのキーを見ることなくモデルを使える）」と明記しています。公式ドキュメント Console > Providers
• つまり外部プロバイダの鍵が OpenCode のサーバ側に保管される設計であり、今回の露出経路と整合します。公式ドキュメント Console > Providers API
• 一方、`opencode auth login` で CLI にログインした場合の認証情報は、利用者の端末の `~/.local/share/opencode/auth.json` にローカル保存されます。公式ドキュメント CLI

利用形態ごとの関係

• OpenCode Console（外部プロバイダを連携）: 鍵はサーバ側に保管。今回の中心。運営が言う「external providers linked」がこれに相当します。
• 旧 Console／レガシーシステム: 通知メールの「廃止作業中のレガシーシステム」に該当すると見られますが、公式に「旧 Console」と名指しされてはいません。旧 Console から新 Console への移行は 2026年9月中旬から進行中でした（PR #49520、Issue #50201）。時期は整合しますが、断定できる材料はありません。
• OpenCode Go / Go Plus / Zen: OpenCode 自身が発行するキーやクレジットを使う形態で、影響の報告はありません。失効が OpenCode 側で完結する点が外部プロバイダ連携との違いです。
• CLI のみ（ローカルに鍵を置く構成）: 設計上、資格情報は OpenCode のサーバを経由しないため、この経路には含まれないと考えられます。開発者の dax 氏も「今回の件は Console であって OpenCode 本体ではない」「ローカルで使う鍵は当社に届かない」と説明したと報じられています（二次情報）。ただし公式発表（X 投稿・通知メール）はこの区別をしておらず、また「Console にログインしたことがある」人でも、その時点で外部プロバイダ鍵を登録していれば対象になり得ます。したがって「影響なし」と断言はできません。redreamality 解説
• OAuth 連携（ChatGPT Plus/Pro、GitHub Copilot など）: 露出対象は「Console に登録した API キー」であり、OAuth トークンではありません。

運営は侵害を「大規模な蒸留攻撃に関連する」と説明していますが、これを裏付ける独立した証拠は現時点でひとつも公開されていません。

• なぜ蒸留攻撃と判断したのかの説明がありません。攻撃トラフィックやリクエストパターンの証拠、対象となったモデル、攻撃者の帰属のいずれも非公開です。Hacker News 上でも「no public evidence of this」と指摘されています。Hacker News スレッド
• 通知メールには「蒸留」の語が一切出てきません。メールは「レガシーシステムへの不正アクセス」「第三者プロバイダのキーが露出した可能性」のみを述べています。X 投稿とメールで説明の粒度が食い違っており、運営側の整理が未了であることを示唆します。Hacker News（メール引用）
• 公式投稿の文言は因果関係が両方向に読めます。「攻撃者が盗んだ鍵でモデル出力を収集した（＝蒸留）」とも、「蒸留的なトラフィックを検知する過程で別途レガシーシステムの不正アクセスも判明した」とも読めます。本来は別の事象であり得る2つが、1文にまとめられています。

3つの段階を区別する必要がある

• ① API キーが第三者に露出したこと: 有力。公式投稿＋通知メール（第三者引用）＋複数の利用者証言があります。ただし独立した技術的検証（ログ・フォレンジック）は存在せず、根拠の中心は運営の自己申告です。
• ② その鍵が実際に不正使用されたこと: 未確認（未検証の自己申告）。$400・€200 などの報告はいずれも本人申告のみで、プロバイダ側の確認は得られていません。
• ③ 使用目的が AI モデルの蒸留だったこと: 証拠なし。①②とは別に立証が必要ですが、③については何も示されていません。

参考: 同じ時期の別事案（本件との関連は示されていない）

• OpenAI は 2026-09-30 に「Disrupting a coordinated model-distillation campaign」を公表し、Moonshot AI 関係者への帰属を示しました。OpenAI 公表
• Anthropic も 2026年9月の不正利用レポートで、工業規模の蒸留について公表しています。
• 蒸留攻撃は 2026年10月時点で現実の脅威として扱われているテーマですが、それが本件の鍵窃取の目的だったことを示す材料にはなりません。

以下はすべて未検証の自己申告です。プロバイダ側・OpenCode 側による確認は取れていません。

• Anthropic アカウントで $400 の不正利用があったとする報告（本人が OpenCode 由来と明言）。Reddit r/opencode
• 「Anthropic の領収書が大量に届き、OpenCode で使っていた鍵が原因だと辿れた」とする報告（金額不明）。
• Google（Gemini / Cloud）で 約 €200 に達し、過剰利用を理由にプロジェクトが停止されたとする報告。
• 「Codex の使用率が一晩で 90%→0% になった」とする報告は、別ユーザーから r/codex の既知障害だと反証されています。
• 金額帯は数百ドル規模の個人利用者が中心で、百万ドル級の被害申告は確認できていません。プロバイダ別では Anthropic の報告が最多です。
• 返金について、開発者の dax 氏が「影響した利用者には全員連絡済みで、返金の手続きも進行中」と述べたと報じられています。ただし二次情報1件のみで、OpenCode の公式発表としては確認できず、対象範囲・金額・負担者（OpenCode かプロバイダか）も不明です。redreamality 解説

混同に注意（関連が確認できない報告）

Reddit の r/Anthropic には、時期の近い別の不正利用報告（自分が作成していない API キーで $344.51、新規作成された3つの鍵で $5,473.63 など）があります。いずれも投稿本文に OpenCode への言及はなく、手法も「アカウントに侵入後に鍵を新規作成する」もので、OpenCode から鍵が漏れた今回の事象とはメカニズムが異なる可能性が高いです。関連を断定すべきではありません。

「1.4%」の母数は不明

運営の表現は「OpenCode Console 利用者の 1.4%」です。Console のアカウント数は非公開であり、実人数は算出できません。opencode.ai のトップページにある「over 16M developers every month」は Console のアカウント数ではないため、この数値を母数にした掛け算は成り立ちません。

設計自体は異常ではない

Console が外部プロバイダの鍵をサーバ側で保管するのは、意図的なプロダクト機能です（ワークスペースでの共有、ゲートウェイ経由の統一利用、予算管理）。OpenRouter の BYOK（Bring Your Own Key）などにも類似の仕組みがあり、設計として異常とは言えません。

ただし「サーバ側に顧客の API キーを集約する」ことは、侵害時の影響範囲（blast radius）を極端に大きくすることと表裏一体です。利便性と引き換えに、鍵の保管場所が単一障害点になります。今回まさにそのリスクが顕在化しました。

なお、暗号化方式・鍵管理（KMS/HSM の利用）・アクセス権限の分離といった実装は一切公開されていません。したがって「鍵が平文で取得された」とも「暗号文のみだった」とも断定できず、「設計が不適切だった」とも評価できません。判断には内部仕様の開示が必要です。

比較的明確な疑いがあるのは運用面

• 廃止システムの鍵が残っていた: 通知メール自身が「廃止作業中のレガシーシステム」での露出を述べており、廃止プロセス中に有効な顧客 API キーが残存していたことを運営が自認している形になります。システム停止より先に鍵を失効させる手順がなかった点は、運用上の不備の典型例です。
• 一括失効の手段がない: OpenCode 側から顧客の外部プロバイダ鍵をまとめて失効させる手段が存在せず、被害の停止が利用者の手動対応に依存しています。Hacker News でも「Only responsible thing would have been to invalidate all keys」と指摘されました。Hacker News スレッド
• その後 Anthropic 側が影響キーを失効させたとされますが、これはプロバイダ側の措置であり、OpenCode が自力で被害を止められる構造になっていない点は変わりません。失効されなかったプロバイダの鍵については、依然として利用者の手動対応に依存します。
• 通知内容が抽象的: 対象プロバイダの網羅的な列挙、露出した時間帯、鍵の識別子（末尾数桁など）、露出件数のいずれも示されていません。
• 異常検知が利用者より遅れた: 異常なトークン消費に先に気づいたのは利用者側でした（Reddit の報告は公式発表より前）。
• 対応速度は評価できない: 「last night」の時刻が非公開のため、検知から通知までの所要時間を算出できません。

秘密情報の集約保管を行う以上、一般には (a) 封筒暗号化＋KMS、(b) 最小権限、(c) アクセス監査、(d) 自動ローテーション、(e) 侵害時の一括失効 API が求められます。公開情報から少なくとも (e) の欠如は推測できますが、他の項目は確認できません。

• Anthropic: 社員の Lydia Hallie 氏が X で「OpenCode と協力し、影響を受けたと見られる Claude API キーを失効させた」「OpenCode に鍵を保存していた人は念のため新しい鍵を作ってほしい」と投稿しました。これが唯一、プロバイダ側から確認できた対応表明です。ただし公式アカウント・公式ブログの発表ではなく社員個人の投稿であり、失効の対象範囲・件数・基準は示されていません。@lydiahallie 投稿
• OpenAI: openai.com/news/security に本件の言及なし。OpenAI Security ニュース
• Google: 公式ブログに本件の言及なし。利用者の自己申告として「Google がプロジェクトを停止した」との報告が1件ありますが、Google の発表ではありません。

運営の言う「Anthropic・OpenAI・Google と協力して対処中」のうち、Anthropic との協力については社員投稿という形で裏付けが取れました。一方、OpenAI と Google については依然として独立に確認できた事実がありません。また、不正請求の補償方針を表明した社は3社ともありません。

なお、Anthropic 側で鍵が失効された場合、利用者が気づく前に手元の鍵が使えなくなっている可能性があります。アプリや CI が突然認証エラーになった場合は、この失効が原因のこともあります。

• 通知メールが届いたかを確認する。運営は「届いていなければ影響なし」としています（ただしこれは運営の説明です）。
• OpenCode Console に外部プロバイダの API キーを登録していたかを確認する。登録していた場合は、各プロバイダのダッシュボードで該当キーを失効させ、新しい鍵に差し替える。
• 差し替えた鍵を使っている他のアプリ・CI・スクリプトの設定も更新する。
• 各プロバイダの利用履歴・請求を遡って確認し、心当たりのない消費がないか調べる。予算上限やアラートの設定も見直す。不正請求があった場合は、利用ログの時刻を添えて各プロバイダの請求サポートに問い合わせる。
• Anthropic の鍵は、すでに Anthropic 側で失効されている場合があります。アプリや CI が突然認証エラーになったときは、鍵を作り直してください。
• Console 上で鍵を削除・差し替えただけでは、プロバイダ側の古い鍵は有効なままです。必ず各プロバイダのダッシュボードで失効させてください。
• Console への鍵の再登録は、現時点では推奨しません。侵害が進行中と運営が明言しており、侵入経路が非公開のため同じ経路で再露出しない保証がなく、現行 Console も同じサーバ側保管設計です。再開の判断材料は「侵入経路の公表」「閉塞の確認」「鍵の保管方式と管理策の説明」の3点が揃ってからになります。
• なお、CLI のみを使い鍵をローカルに置く構成は、今回の事象に限れば影響経路が薄いと評価できます。ただしこれは「OpenCode が安全」という意味ではありません。OpenCode 本体には 2026年に複数のローカルサーバ RCE 系脆弱性が報告されており、本体の更新は別途必要です。GitHub セキュリティアドバイザリ

• 正式なインシデントレポート／ポストモーテム: 発生時刻・検知時刻・鍵が取得可能だった時間窓つきの開示があるか。
• 侵入経路: 脆弱性・認証情報漏洩・内部不正・サプライチェーン・設定不備のどれか。および侵入経路が閉塞されたことの証拠。
• 暗号化・鍵管理の実装: 鍵が平文で取得できたのか、一括ダウンロードが可能だったのか。
• 「レガシーシステム」の正体: 旧 Console で確定なのか。
• 露出件数と影響利用者の実数: 「1.4%」の母数の定義と実数。
• 蒸留攻撃と判断した根拠: トラフィック・リクエストパターン、必要なら攻撃者の帰属。
• プロバイダ3社の独立した見解と対応: Anthropic は社員投稿にとどまっており、公式アカウント・ブログでの正式な説明（失効した鍵の件数・基準）が出るか。OpenAI と Google が同様の措置を取るか。
• 返金・補償方針: 「返金手続きが進行中」とされる内容が公式に announce されるか。対象範囲・負担者（OpenCode かプロバイダか）がどう整理されるか。
• 公式発表での Console と CLI の区別: 開発者が個別に説明した「ローカルの鍵は届かない」という点を、公式の告知文でも明示するか。
• 現行 Console に同種のリスクが残るか: 同一の「サーバ側保管＋ゲートウェイ転送」設計であることは確認済みで、構造的リスクの評価が必要です。