OpenCode、大規模蒸留攻撃で認証情報が流出

OpenCode Hacked: User credentials leaked

▲ 759pranshuchittora127 HNでの議論

OpenCodeは、昨夜発生したセキュリティ侵害により、OpenCode Console利用者の1.4%の認証情報が流出したと発表した。影響を受けた全ユーザーには今朝メールで通知済み。事態は現在も進行中で詳細は明かせないとしつつ、Anthropic、OpenAI、Googleと協力して対応にあたっているという。

大規模な蒸留攻撃に関連するセキュリティ侵害が昨夜発生し、OpenCode Console利用者の1.4%に影響が及びました。
原文を読む →HNでの議論RSS

HNでの議論

127
  1. redsymbol

    OpenCodeチームがうまく説明できていない点を明確にしておきます。

    今回のリークは「OpenCode Console」というものに関するもので、OpenCodeのコーディングエージェントとは別物です。コーディングエージェントだけを使っているなら影響はありません。「OpenCode Console」はOpenRouterに似たサービスですが、利用者ははるかに少ないです。

    「OpenCode Console」という名前は非常に紛らわしく、CLIコーディングエージェントのことだと思う人もいるかもしれません。そうではありません。「OpenCode Console」はCLI/TUIコーディングエージェントとも、デスクトップアプリ版とも何の関係もありません。

    さらに悪いことに、「OpenCode Console」に関するオンラインのドキュメントはほとんどなく、公式のリーク告知でもこの区別がまったく明確にされていません。OpenCodeチームの説明はひどいもので、これは彼らの責任です。

    今日は「OpenCode Console」を使っている人にとっては最悪の日です。しかし、これを読んでいるOpenCodeユーザーのほとんど、おそらく大半は「OpenCode Console」を使っていません。

  2. pranshuchittora

    この投稿の著者です。OpenCodeのファンやチームは、この投稿がHNのトップページに来たことを快く思っていないようです。すでに多くの人にフラグを立てられています。

    アップボートを頼んだことはありませんが、していただけると嬉しいです。

    ありがとう！

  3. Ciantic

    すべてのAPIキーシステムには「invalidate_api_key」というエンドポイントがあるべきだと思います。そうすれば、ホワイトハッカーやキーを保管している当事者が、漏洩した場合にすべてのキーを無効化できます。今は時間との勝負で、全員にメールが届き、全員が自分で対応しなければなりません。

  4. computerex

    なぜ自分のAPIキーがワークスペースで露出しているのですか？OpenCodeは私のAPIキーをバックエンドサーバーに送っているのですか？？？これはopencodeプログラム自体に感染するサプライチェーン攻撃だったのですか？一体何が起きているのですか？

  5. djchen

    私の理解は正しいですか、これはAnthropic/Google/OpenAIのAPIキーを(BYOKで)保存していた一部のOpenCode Zenユーザーにのみ影響した、ということで合っていますか？

    要するに彼らはOpenCode ZenをOpenRouterのように使っていて、BYOKを使うか、彼らのものを使ってトークン料金を請求される、という形です。

  6. jchw

    私はOpenCodeを使っていませんが、これが誰に影響するのか知りたいです。単に自分の認証情報でローカルでOpenCodeを使っているだけの人は影響を受けないんですよね？これはホスト型サービスがあって、そこにキーを入れる類の話に聞こえます。悪くないとは言いませんが、はっきりせず、彼らは何の情報も共有していません。

  7. rozenmd

    @dang このタイトルは更新が必要です：「OpenCode Console hacked: User credentials leaked」

    opencode CLIには影響ありません。

  8. oldfuture

    https://news.ycombinator.com/item?id=50108261

    だからその時VirusTotalがフラグを立てていたのか

この日のほかの記事

2026-10-17