OpenCodeに不正アクセス、APIキー流出の可能性｜対象の見分け方と今すぐやる対処

2026年10月17日（米国時間）、AIコーディングエージェント「OpenCode」の公式ホスティングサービス OpenCode Console が不正アクセスを受け、利用者がワークスペースに登録していた OpenAI・Anthropic・Googleなどの外部APIキーが流出した可能性があると公式が公表しました。OpenCodeから通知メールが届いた人は、メール内のリンクは使わず、各社の管理画面からキーをすぐ失効させてください。

この記事では、次の内容を扱います。

• 公式発表で確認できている事実と、まだ分かっていないこと
• 自分が対象かどうかの見分け方（使い方別）
• OpenAI・Anthropic・Googleそれぞれでキーを止める場所と、請求の確認方法
• チーム・企業で使っている場合に追加でやること
• 同じことが起きても被害を小さくするキーの預け方

OpenCodeを個人で使っている開発者のほか、社内でOpenCodeや他のAIコーディングツールを管理している情報システム担当・開発リーダーに向けた記事です。2026年10月18日時点の情報で書いており、調査は続いているため、続報で内容が変わる可能性があります。

通知メールが届いた人はキーを止め、請求を確認する

まずやることは「キーの失効」と「請求の確認」の2つです。公式は、通知メールが届いていない利用者は影響を受けていないと説明しています。

OpenCodeそのものの機能や料金を知りたい人は、OpenCodeとは？機能・料金・使い方から読むと全体がつかめます。

何が起きたのか：公式発表で確認できていること

出典: OpenCode 公式サイト

OpenCodeは公式Xで、侵害は「大規模な蒸留攻撃（distillation attack）に関連するもの」だと説明しました。ただ、どのように侵入され、蒸留攻撃とキーの窃取がどうつながるのかは、現時点では公表されていません。

公式X（2026年10月17日 18:08 UTC）で示された内容は次のとおりです。

• 「昨夜」セキュリティ侵害が発生した
• 影響を受けたのはOpenCode Console利用者の1.4%
• 対象者には「今朝」メールで通知した。メールが届いていない人は影響を受けていない
• 影響を受けたのは、外部プロバイダーを連携していた利用者の一部
• インシデントは継続中のため、これ以上の詳細はまだ出せない
• Anthropic・OpenAI・Googleと連携して対応している

利用者が公開した通知メール（差出人 security@opencode.ai）には、これより少し詳しい説明があります。公式サイトで公開された文書ではないため、扱いには注意してください。

• 廃止作業を進めていた旧システム（legacy system）への不正アクセスを確認した
• ワークスペースに保存していた第三者プロバイダーのキーが漏えいした可能性がある
• 該当キーを各プロバイダーの管理画面で失効・再発行し、キーを使っているアプリを更新し、直近の利用状況を確認してほしい
• キーが実際に不正利用されたかどうかは確認できていない
• これまでの分析では、キー以外のデータが漏れた形跡はない
• 不正な請求の扱いについてOpenAI・Anthropic・Googleと協議している（払い戻しを約束する内容ではない）

確認済みの事実と未確認の情報

速報段階のため、SNSや海外メディアには推測も混ざっています。判断に使うときは、確認済みの情報と未確認の情報を次のように分けて考えてください。

時系列（日本時間）

日本時間では、10月17日の朝から10月18日の未明にかけて事態が明らかになりました。

公式の公表より前に、利用者側ですでに請求が発生していたという報告もあります。メールを待たず、自分の請求画面を見るほうが確実です。

自分は対象？使い方別の影響範囲

対象になり得るのは、OpenCode Consoleのワークスペースに自分のAPIキーを登録していた人です。手元のパソコンでOpenCodeのCLIだけを使っていた人は、公式発表の範囲では対象に含まれていません。

ここで区別しておきたいのが、OpenCodeの2つの使い方です。

• OpenCode（CLI・デスクトップアプリ）: Anomaly Innovations（旧SST）が開発するオープンソースのAIコーディングエージェントです。/connect で登録したキーは、公式ドキュメントによると手元の ~/.local/share/opencode/auth.json に保存されます（OpenCode Providers ドキュメント）
• OpenCode Console: OpenCode公式のホスティング型サービスです。ワークスペース単位でメンバー招待・予算設定・使うモデルの選択、そして自分のプロバイダーの接続を管理できます。キーをワークスペースに預けると、メンバーはキーを見ずにモデルを使えます。つまり、キーはOpenCode側のサーバーに保存されていました

メールが届いていない場合でも、迷惑メールフォルダや、Consoleに登録したアドレス（会社と個人で分けている人は両方）を確認してください。ローカル利用だけの人も、同じキーをConsoleに登録したことがないか一度思い出しておくと安心です。

OpenCodeと他のエージェント型ツールの違いは、OpenClawとOpenCodeの比較で整理しています。

今すぐやること：キーの失効から請求の確認まで

出典: Google AI for Developers 公式

対象の人は、次の順番で進めてください。最初の1つが最も重要で、ここが遅れるほど不正利用の時間が延びます。

1. 各社の管理画面で該当キーを失効させる。通知メールのリンクは使わず、ブラウザで各社の管理画面を自分で開きます。今回の事件に便乗したフィッシングメールが出てくる可能性があるためです
2. 新しいキーを発行し、使っているアプリ・CI・サーバーの設定を差し替える。漏えいが疑われるときは、新しいキーへの切り替えを待たずに古いキーを先に止めます。アプリが一時的に止まっても、不正利用を止めるほうを優先してください
3. 利用状況と請求を確認する。10月17日以降を中心に、見覚えのないモデルの利用、出力トークンの急増、使っていない時間帯の利用がないかを見ます
4. 支出上限を設定する。上限がない、または通知だけの設定になっている場合は、到達すると止まる上限に変えます
5. OpenCode Consoleの接続を見直す。Consoleの接続済みプロバイダーを確認し、新しいキーに差し替えるか、接続そのものを外します
6. 同じキーが他の場所に残っていないか探す。.env ファイル、リポジトリ、シェルの履歴、他のAIツールの設定に同じキーを貼っていれば、そちらも新しいキーに差し替えます

ローカルのOpenCodeに登録しているキーは、opencode auth list で一覧を確認でき、不要なものは opencode auth logout で外せます。

もう1つ注意したいのが、「GitHubの公開リポジトリにキーを載せれば各社が自動で無効化してくれる」という裏技的な手段です。Anthropicなどはsecret scanningで見つかったキーを自動で無効化しますが、公開するとすぐに第三者にも拾われます。キーは各社の管理画面で自分で止めてください。

プロバイダー別：キーを止める場所と支出上限の違い

出典: Claude Platform 公式

各社とも管理画面からキーを削除・無効化できます。違いが大きいのは支出上限に達したときの動作で、到達すると止まるのか、通知だけなのかを確認しておく必要があります。

Googleの公式手順は「新しいキーが動くのを確かめてから古いキーを無効化する」順番で書かれていますが、これは平常時のローテーションの手順です。漏えいが疑われる今回は、古いキーを先に止めてください。

管理画面の名称や上限の仕様は変わることがあります。設定する前に、各社の最新のドキュメントで確認してください。

不正請求の報告と払い戻しの見通し

SNSやHacker Newsには、実際に不正請求を受けたという投稿が出ています。ただし金額はいずれも利用者の自己申告で、OpenCodeや各社が確認した数字ではありません。

• AnthropicのAPIで約400ドルの不正請求を受けたという報告
• 当日だけで約100ドル使われたという日本の利用者の投稿
• 月20ドル分のAnthropicのAPIクレジットを使い切られたという書き込み

払い戻しについては、利用者が公開した通知メールに「OpenAI・Anthropic・Googleと協議中」とあるだけで、返金が決まったわけではありません。身に覚えのない利用があった場合は、次の材料をそろえて各社のサポートに連絡するのが現実的です。

• OpenCodeから届いた通知メール（転送ではなく原本を保存）
• 該当キーの名前・作成日・失効させた日時
• 不正と思われる利用の日時・モデル・金額がわかる利用画面のスクリーンショットやCSV

AIツールの想定外の課金にどう向き合うかは、Claude Codeで起きたHERMES.mdによる課金トラブルのまとめも参考になります。

「蒸留攻撃」とは何か、今回とどう関係するのか

蒸留攻撃とは、他社の高性能なAIモデルに大量の質問を投げて回答を集め、その回答で自社のモデルを学習させる手口です。盗んだAPIキーを使えば、攻撃者は自分のお金を払わずに大量の問い合わせができます。

Anthropicは2026年2月、DeepSeek・Moonshot・MiniMaxの3社が約2万4,000の不正アカウントを使い、Claudeと1,600万回を超えるやり取りをして能力を抜き出していたと公表しています。上位のモデルの回答は学習データとして価値が高く、そのぶん計算資源を盗む動機も強くなっています。

ただし、OpenCodeは今回の侵害を「蒸留攻撃に関連する」と説明しただけで、誰が攻撃したのか、Anthropicが公表した事例とつながりがあるのかは明らかにしていません。Hacker Newsでも、蒸留攻撃という説明を裏付ける公開情報はないと指摘されています。海外メディアの一部は、盗まれた主な価値はデータよりもキーに紐づく請求の権限（計算資源）だったとみています。キー以外のデータが漏れた形跡はないという通知メールの説明とも合う見方ですが、確定した事実ではありません。

過去のOpenCodeの脆弱性とは別の問題

OpenCodeでは2026年に入ってから、ローカル側の脆弱性がいくつか公開されています。今回の件とは別の問題なので、混同しないようにしてください。

過去の脆弱性は、利用者がOpenCodeを最新版に更新すれば対処できるものでした。今回はOpenCode側のサーバーで起きたため、利用者がアップデートしても防げません。利用者にできるのは、預けていたキーを止めることだけです。

なお、OpenCodeの公式セキュリティポリシーでは、OpenCodeはエージェントをサンドボックスで隔離しておらず、実行前の確認は安全のための仕組みではないと明記されています。隔離が必要ならDockerや仮想マシンの中で動かすよう案内しています。AIコーディングツール全般のリスクは、AIコーディングのセキュリティリスクと対策で詳しく扱っています。

チーム・企業で使っている場合に追加でやること

会社でOpenCode Consoleを使っていた場合は、個人の対処に加えて、管理者がワークスペース全体を確認する必要があります。メンバーそれぞれに任せると、誰も止めていないキーが残りがちです。

• 管理者がワークスペースの接続を棚卸しする。誰がどのプロバイダーのキーを接続していたかを一覧にし、すべて失効を確認する
• 本番環境・CIで使っているキーを特定する。同じキーを本番のアプリやCIでも使い回していると、失効させた時点でサービスが止まる。止める順番と差し替えの担当を決めてから一斉に作業する
• 経理と請求を確認する。会社のカードで払っている各社の請求を10月17日以降で確認し、不正が疑われる分は記録を残す
• 社内に報告する。現時点では、キー以外のデータが漏れた形跡はないとされています。ただ、社内の情報セキュリティ規程で報告が必要なケースもあるため、担当部署に経緯と対処を共有する

今回の事件で分かったのは、便利だからとAPIキーを外部サービスに預けると、そのサービスの安全性に会社の請求が左右されるということです。個人向けのツールを持ち寄って使う形ではなく、社内で全員が使う、あるいは業務システムに組み込むのであれば、キーの管理や利用状況の監視も含めて費用を見積もる必要があります。費用の考え方は社内AIチャットボットの費用で整理しています。

AIエージェントを組織で運用するときの権限設計は、AIエージェントのセキュリティ対策も参考にしてください。

再発防止：APIキーをどこに預けるか

同じような事件はOpenCodeに限らず、今後も起こり得ます。キーを複数のモデルにつなぐゲートウェイ型のサービスは、攻撃者にとって効率のよい標的だからです。漏れることを前提に、被害を小さくしておく工夫が有効です。

手元に置いたキーも、ファイルが読まれれば漏れることに変わりはありません。auth.json や .env をリポジトリに含めない、共有のパソコンに置かないといった基本も合わせて確認してください。生成AIのセキュリティ全体の論点は、生成AIのセキュリティリスクにまとめています。

OpenCodeを使い続けてよいか

ローカルのCLIやデスクトップアプリだけで使っている人は、今回の件を理由にすぐやめる必要性は低いと考えられます。一方、Consoleにキーを預ける使い方は、事後報告書（ポストモーテム）が出るまで見直したほうが無難です。

使い続けても大きな問題はない人

• ローカルのCLI・デスクトップアプリだけで使い、キーを手元で管理している
• OpenCodeのクレジット払いだけで、自分のAPIキーをConsoleに登録していない
• 用途別のキーと支出上限をすでに設定しており、漏れても被害の上限が決まっている

使い方を見直したほうがよい人

• Consoleのワークスペースに、本番環境でも使っている重要なキーを登録していた
• 支出上限を設定しておらず、自動チャージも有効にしている
• チームでキーを共有していて、誰がどのキーを登録したか把握できていない
• 社内規程で、外部サービスへの認証情報の保存に制限がある

乗り換えを検討する場合は、Anthropic公式のClaude CodeやGoogleのGemini CLIなど、提供元のサービスと直接つなぐツールも候補になります。Claude Codeを使う場合の注意点はClaude Codeのセキュリティと安全な使い方、費用を抑える設定はClaude Codeのコスト最適化で解説しています。

よくある質問

通知メールに書かれたリンクからキーを失効させてもよいですか？

おすすめしません。本物のメールであっても、同じ件名をまねたフィッシングメールが今後出回る可能性があります。OpenAI・Anthropic・Googleの管理画面は、ブックマークか検索から自分で開いてください。

キーを失効させると、OpenCode Consoleで使っていたモデルはどうなりますか？

古いキーで接続していたプロバイダーのモデルは使えなくなります。Consoleを続けて使うなら新しいキーを登録し直し、続けないなら接続を外してください。OpenCodeのクレジット払いで使っているモデルには、各社のキーの失効は影響しません。

OpenCodeは利用者のキーをまとめて無効化してくれないのですか？

2026年10月18日時点で、OpenCode側がキーを一括で失効させたかどうかは公表されていません。OpenCodeが各社と連携しているとはいえ、利用者が自分で止めるのが確実です。

不正利用が見つからなければ、キーを替えなくても大丈夫ですか？

通知メールが届いた場合は、不正利用が見つからなくても替えてください。通知メールでは、不正利用されたかどうかは確認できないと説明されています。今は使われていなくても、後から使われる可能性があります。

会社のメールアドレスで登録していましたが、退職者のアカウントはどうなりますか？

退職者がワークスペースに残したキーも、ワークスペースに保存されていれば対象になり得ます。管理者がワークスペースの接続を確認し、退職者が発行したキーも含めて各社の管理画面で失効させてください。プロバイダー側の組織から退職者のアカウントが外れているかも合わせて確認しておきましょう。

まとめ

• 2026年10月17日、OpenCode Consoleの旧システムへの不正アクセスで、ワークスペースに保存された外部APIキーが漏れた可能性があると公表された
• 影響はConsole利用者の1.4%で、外部プロバイダーを連携していた人の一部。対象者にはメールが届いており、届いていない人は影響なしと公式は説明している
• 対象の人は、各社の管理画面でキーをすぐ失効し、10月17日以降の利用と請求を確認し、止まる支出上限を設定する
• 侵入の手口、被害の総額、払い戻しの有無は未公表。ローカルのCLIだけの利用者が対象外であることも公式には明言されていない
• 今後に向けては、用途別のキーと上限の設定、外部サービスに預けるキーを減らすことで、漏れたときの被害を小さくできる

調査は続いており、OpenCodeからの事後報告書や各社の払い戻しの方針が出れば状況は変わります。対象の人は、公式Xと通知メールの続報も確認してください。