OpenCode Consoleに侵入、利用者の1.4%に被害、OpenAIは返金

オープンソースのコーディングエージェントOpenCodeは、Webの管理画面OpenCode Consoleで侵入があり、Consoleの利用者の1.4%、外部のAIサービスをつないだ人の一部が影響を受けたとXで明らかにした（Xのみ、OpenCode の申告）。大規模な蒸留の攻撃に関係するという。OpenAIのCodex担当を名乗る人物は、攻撃で使われたクレジットを返金したとXに書いた。事故の報告はまだ出ていない。APIキーを登録している人は、使用量を確かめておきたい。

記事の内容を自社でどう進めるか、内容が固まっていない段階でも相談できます。仕事の相談

毎週 1 回、その週の記事から 5 本と実践の 1 本を選んでメールで届けます。ニュースレターを購読する（無料）

登録したAPIキーで他人に使われる損

読者にとっての損は、自分の支払いで他人にモデルを使われるおそれだ。OpenCodeは、Claude、GPT、Geminiなどのモデルを好きに選んで使えるのが売りで、利用者は各社のAPIキーやアカウントをConsoleに登録できる。そこが破られると、登録した鍵で大量の問い合わせを出され、請求が自分に来る。月ぎめの定額ではなく使った分だけ払うAPIでは、気づくのが遅れるほど額が膨らむ。会社の鍵を個人の道具に登録している場合は、会社の請求や利用規約にも響きかねない。

蒸留の攻撃とは、強いモデルに大量の質問を投げて答えを集め、その答えで別のモデルを鍛えるやり方を指すことが多い。大手のAI各社は利用規約で禁じていて、攻撃する側は自分の身元を隠すために他人の鍵を使いたがる（編集部の読み）。今回、他人の鍵がそのために使われたのかどうかを、OpenCodeは書いていない。

OpenAI側では返金の知らせ

翌19日昼には、プロフィールに「Codex & ChatGPT @OpenAI」と書くTibo（@thsottiaux）が、XでOpenCodeの件に触れた。OpenAIのAPIも使っているOpenCodeの利用者は元どおり使えるようになり、攻撃で使われたクレジットは返金したと書いている（Xのみ、本人の申告）。同じ投稿では、Daybreak Blueへのアクセスを申し込めることも案内している。

AnthropicとGoogleの側で同じような対応があったかは、この時点では分からない。OpenCodeは影響を受けた人にメールを送ったとしているが、侵入の入り口、漏れた物の種類、いつからいつまでかといった中身は、まだ公式のブログや事故の報告として出ていない。1.4%が何人にあたるのかも書かれていない。投稿の時点で件は続いているとしていたので、影響の範囲が後から広がる余地も残る（編集部の読み）。

まず確かめておきたいこと

OpenCodeは、メールが届いていなければ影響はないとしている。それでもConsoleに外部のAIサービスを登録している人には、確かめておきたいことが4つある。1つ目は、各社の管理画面で最近の使用量と請求を見ること。2つ目は、見覚えのない急な増え方があれば鍵を作り直し、古い鍵を止めて、OpenCodeにも新しい鍵を入れ直すこと。3つ目は、使える上限額を決められるサービスなら低めにして、被害の天井を下げること。4つ目は、1つの鍵をいくつもの道具で使い回さず、道具ごとに別の鍵を作ることだ。こうしておけば、どこから漏れたのかを見分けやすくなり、止める範囲も小さくできる（編集部の読み）。

コーディングエージェントでは、1つの道具に複数の会社の鍵を預けることが増えている。便利な反面、その道具が破られると、いくつもの請求に一度に響く。OpenCodeの手元のCLIだけを使い、Consoleに鍵を登録していない人が今回の対象かどうかも、投稿からは読み取れない。登録したかどうかを覚えていない人は、Consoleにログインして、つないであるサービスの一覧を一度見ておくとよい。使っていないつなぎ先があれば、この機会に外しておける。

編集部の見方

OpenCodeが数字を出し、利用者にメールを送ったのは早かった。ただ、Xの短い投稿だけでは、利用者は自分が何をすればいいのか決めにくい。入り口と漏れた物、どの鍵を作り直せばいいのかを書いた事故の報告が出るまでは、鍵を預けている側が自分で使用量を見て守るしかない。OpenAIのような返金の知らせがAnthropicとGoogleの側からも出るかを、合わせて見ておきたい。報告が出たら続報で伝える。