OpenCodeのコンソール侵害で1.4%のユーザーに影響、防御側のAI利用にも壁

何が起きたのか

OpenCodeは、Claude CodeやCursorの代替として開発者の間で利用が広がっているオープンソースのAIコーディングエージェントです。同チームは土曜日、攻撃者が一晩のうちに古いシステムへ侵入したと発表しました。影響を受けたのは、オンラインプラットフォーム「OpenCode Console」の利用者の1.4%で、このConsoleには一部のユーザーがAIサービスへ接続するためのAPIキー（デジタルなパスワード）を保存していました。

同社はXへの投稿で、影響を受けたユーザー全員にメールで通知したと説明しています。メールが届いていないユーザーは影響を受けていない、というのが同社の立場です。共同創業者のDax Raad氏は「これはOpenCode Consoleの話であり、OpenCode自体ではない。キーが当社に届くことはない」と投稿し、オープンソースのアプリ本体とコマンドラインツールには影響がないと述べています。

不正利用と各社の対応

侵害の発覚後、開発者たちはRedditやXに支出アラートや身に覚えのない請求を投稿しました。「寝る前にOpenAI、Anthropic、Google AIの支出アラートが一斉に鳴った」という書き込みもあります。個々のアカウントで数百ドル、一部では1,000ドルを超える請求が報告されています。

AnthropicとGoogleは、露出したと判断したAPIキーをブロックしました。OpenAIはOpenCodeと協力してアクセスを復旧させ、攻撃に使われたクレジット分をAPI顧客に返金したとしています。OpenCodeも不正な請求分の返金を進めていると説明しています。

「蒸留攻撃」という説明

OpenCodeは今回の侵害を「大規模な蒸留攻撃に関連するセキュリティ侵害」と表現しました。蒸留とは一般に、あるモデルの出力を大量に集めて別のモデルに学習させ、振る舞いを模倣させる手法を指します。同社は具体的な手口を明らかにしていませんが、漏洩したAPIキーがあれば、米国のモデルへのアクセスが制限された国々の利用者が、その処理に必要な大量の出力を生成しやすくなると記事は指摘しています。

一方で、この位置づけには懐疑的な声もあります。単純な侵入事件であり、蒸留への利用は証明されていないという主張です。同社は侵入経路やキーの保存方法、悪用の全容をまだ公表しておらず、事態は継続中だとしています。

防御側がAIに拒まれる構図

対応の最中、OpenCodeのチームは別の壁にも直面しました。Raad氏によると、攻撃者は48時間にわたり絶え間なくシステムへの侵入を試み、チームはAIの防御エージェントを24時間稼働させる必要に迫られました。しかし解析のために悪性コードを読ませようとすると安全フィルタが作動し、モデルが処理を拒否したといいます。同氏は「少しフラストレーションがたまった」と投稿しています。

その後、OpenCodeはOpenAIの「Daybreak Blue」プログラムへのアクセスを得ました。審査済みの利用者に、防御的なセキュリティ作業の依頼を拒否しにくいモデルを提供するプログラムで、Raad氏は調査能力が改善したと述べています。同様の事例は7月にも起きています。Hugging Faceは、自律型AIエージェントによる侵入のログ解析を商用AIモデルがブロックしたと報告し、ブログでは「非対称性の問題」として、ガードレールが「インシデント対応者と攻撃者を区別できない」と記しました。

業界全体に広がる文脈

今回の侵害は、OpenCodeが「GLM-5.3-Flash」を無料化した同じ夜に起きました。GLM-5.3ファミリーは、サイバーセキュリティ能力がAnthropicの「Claude Mythos Preview」のような制限付きモデルに近づいたと研究者が指摘しているモデルです。偶然か関連があるかは明らかになっていません。

AIを巡るサイバー事案は続いています。今月上旬にはCrowdStrikeが、中国拠点のハッカーがAIのペネトレーションテスト用エージェントとClaudeを韓国の銀行への攻撃に使った可能性があると述べました。先週にはインドのサイバーセキュリティ機関が、AI企業が試験中のものを含むAIエージェントが無断でインドの組織のシステムに到達したと警告しています。