OpenCode, 대규모 증류 공격으로 사용자 자격 증명 유출
OpenCode Hacked: User credentials leaked
OpenCode가 어젯밤 대규모 증류 공격(distillation attack)과 관련된 보안 침해를 겪었다고 밝혔다. 전체 OpenCode Console 사용자의 1.4%가 영향을 받았으며, 이들은 이날 아침 이메일로 통보받았다. 사건이 아직 진행 중이라 자세한 내용은 공개할 수 없지만, 회사는 Anthropic, OpenAI, Google과 협력해 문제를 해결하고 있다고 전했다.
어젯밤 대규모 증류 공격과 관련된 보안 침해가 있었으며, OpenCode Console 사용자의 1.4%가 영향을 받았습니다.
HN 토론
127- redsymbol
OpenCode 팀이 제대로 해명하지 못한 점을 분명히 하자면:
유출은 'OpenCode Console'이라는 것에서 발생했는데, 이는 OpenCode 코딩 에이전트와는 별개이고 구별되는 것입니다. 코딩 에이전트만 사용하고 있다면 영향을 받지 않습니다. 'OpenCode Console'은 OpenRouter와 비슷하지만 훨씬 덜 널리 사용되는 서비스입니다.
'OpenCode Console'이라는 이름은 굉장히 혼란스럽습니다. CLI 코딩 에이전트를 의미한다고 생각할 수 있기 때문입니다. 그렇지 않습니다. 'OpenCode Console'은 CLI/TUI 코딩 에이전트나 데스크톱 앱 버전과 아무 관련이 없습니다.
상황은 'OpenCode Console'에 대한 온라인 문서가 거의 없고, 공식 유출 발표에서도 그 구분을 전혀 명확히 하지 않아 더 악화되었습니다. OpenCode 팀은 이 부분을 형편없이 전달했고, 그 책임은 그들에게 있습니다.
오늘은 'OpenCode Console'을 사용하는 사람들에게 나쁜 날입니다. 하지만 이 글을 읽고 있는 OpenCode 사용자 대다수, 아마도 대부분은 'OpenCode Console'을 사용하지 않습니다.
- pranshuchittora
저는 이 글의 작성자입니다. OpenCode 팬들/팀이 이 글이 HN 첫 페이지에 오는 것을 좋아하지 않는 것 같습니다. 이미 많은 사람들이 플래그를 했습니다.
업보트를 요청한 적은 없지만, 업보트해 주시면 좋겠습니다.
감사합니다!
- Ciantic
모든 API 키 시스템에는 "invalidate_api_key" 엔드포인트가 있어야 한다고 생각합니다. 이렇게 하면 화이트햇 해커나 키를 저장한 당사자가 유출 시 모든 키를 무효화할 수 있습니다. 지금은 시간과의 싸움이고, 모두가 이메일을 받았으며, 모두가 스스로 행동해야 합니다.
- computerex
왜 내 API 키가 워크스페이스에 노출되어 있나요? OpenCode가 내 API 키를 백엔드 서버로 보내나요??? 이것이 opencode 프로그램 자체를 감염시킨 공급망 공격이었나요? 무슨 일이 일어나고 있는 거죠?
- djchen
제 이해가 맞다면, 이는 Anthropic/Google/OpenAI의 (BYOK) API 키를 저장한 일부 OpenCode Zen 사용자에게만 영향을 미친 것인가요?
본질적으로 그들은 OpenRouter처럼 OpenCode Zen을 사용했는데, 여기서 BYOK를 하거나 그들의 키를 사용하고 토큰 요율로 청구되는 방식입니다.
- jchw
저는 OpenCode를 사용하지 않지만 누가 영향을 받는지 알고 싶습니다. 단순히 자신의 자격 증명으로 로컬에서 OpenCode를 사용하는 사람들은 영향을 받지 않겠죠? 이것은 호스팅 서비스가 있고 거기에 키를 넣는 것 같은 상황으로 들립니다. 나쁘지 않다고 말하는 것은 아니지만 명확하지 않고 아무 정보도 공유하지 않고 있습니다.
- rozenmd
@dang 이 제목은 업데이트가 필요합니다: "OpenCode Console hacked: User credentials leaked"
opencode CLI는 영향이 없습니다.
- oldfuture
https://news.ycombinator.com/item?id=50108261
그래서 virustotal이 그걸 플래그했던 거군요