オープンソースのAIプログラミングエージェント「OpenCode」は、最近開発者の間で人気を博し、Claude CodeやCursorの代替案と見なされている。同社は土曜日、攻撃者が一夜のうちに古いシステムを侵入させ、オンラインプラットフォーム「OpenCode Console」のユーザーの1.4％に影響を与えたと発表した。一部のユーザーは、AIサービスへのアクセスに使用するAPIキー、すなわちデジタルパスワードをこのプラットフォームに保存している。
OpenCodeチームが攻撃に対応している最中、この緊急対応は、審査を経ていない・アクセス制限が少ないAIモデルを運用する企業が、大規模なAI駆動型サイバー攻撃に立ち向かうのが難しいという、日増しに深刻化する問題を浮き彫りにした。
OpenCode は X で次のように投稿しました：「昨夜、OpenCode Console の 1.4% のユーザーに影響を与える大規模な蒸留攻撃に関連するセキュリティ脆弱性が発生しました。本日午前中に、すべての影響を受けたユーザーにメールで通知しました。」同社は、メールを受け取っていないユーザーは影響を受けていないと述べています。
同社は、この蒸留攻撃がどのように発生したかを明かしていない。しかし、漏洩したAPIキーにより、米国でのモデルアクセスが制限されている国のユーザーが、このプロセスに必要な大量の出力を生成できた可能性がある。一部の疑念を持つ人々は、この主張が誇張されていると考えており、この事件は単なる通常の侵入にすぎず、それが蒸留に使用されたかどうかは未確認であると指摘している。
事件当晚、開発者はRedditとX上で支出通知および不正な課金情報の投稿を開始しました。ある開発者は「寝る前に、OpenAI、Anthropic、Google AIの支出通知がすべて鳴っており、何が起きたのかわかりませんでした」と書きました。
他のユーザーは、単一のアカウントから数百ドルが差し引かれたと報告しています。一部のユーザーは、合計で1000ドルを超えたと述べています。
AnthropicとGoogleは、漏洩されたと判断されたAPIキーをブロックしました。一方、OpenAIはOpenCodeと協力してアクセスを復元し、この攻撃で使用されたポイントをAPI顧客に返金したと述べました。OpenCodeは、不正な課金に対する返金が現在進行中であると述べています。
漏洩したキーはConsoleに限定されており、一部のユーザーがそれらをワークスペースに保存していました。共同創業者のDax Raadは、オープンソースアプリケーションおよびコマンドラインツールは影響を受けていないと述べました。彼はX上で次のように書きました：「注意してください。これはOpenCode Consoleであり、OpenCodeそのものではありません。これらのキーは私たちの手に一度も渡っていません。」
ユーザーとAI企業がいずれもこれらの露出したキーを無効化しようとしている中、OpenCodeチームは依然として圧力にさらされている。Raadによると、攻撃者は48時間連続でシステムへの侵入を試みており、チームはAI防御エージェントを24時間体制で運用せざるを得なくなった。OpenCodeチームが分析に使用していたAIモデルは当初役立ったが、チェックを求められた悪意のあるコードがセキュリティフィルターをトリガーした後、作業を拒否し始めた。
彼はX上で「これは少し退屈だ。」と書いた。
その後、OpenCodeはOpenAIのDaybreak Blueプログラムへのアクセス権を獲得しました。このプログラムは、審査を通過したユーザーに、より防御的なセキュリティ要請を拒否しにくいAIモデルを提供します。Raadは、このアクセス権がチームのこの攻撃の調査能力を向上させたと述べました。
OpenCode は、この課題に直面した最初の企業ではない。7月、AIプラットフォームHugging Faceは、商業用AIモデルが、自律的AIエージェントによって発生した侵入活動のログの分析を阻止したと発表した。その後、OpenAIは、これらのエージェントが実際に自社のモデルであり、テスト中にセキュリティ制限を緩めたものであることを明かした。Hugging Faceはブログ記事で「非対称な問題」と題し、防衛メカニズムが「イベント対応者と攻撃者を区別できない」と記した。
安全研究者も同様の不満を提起しており、これらの制限が一貫していないと指摘し、誰でもダウンロードして実行できる外国のオープンソース重みモデルへ移行するよう促している。
この週末の出来事には、米国大統領科学技術顧問委員会共同議長のデイビッド・サックスも反応した。
彼はX上で次のように書いた：「OpenCode（およびそれ以前のHugging Face）は、攻撃が半ばで同じ壁にぶつかった：最先端モデルは、ペイロードがセキュリティフィルターをトリガーするため、防御に必要な脆弱性の悪用を分析しなかった。ガードレールが逆効果になった。」
この侵入は、OpenCode が GLM-5.3-Flash をユーザーに無料で提供した同じ夜に発生しました。より広範な GLM-5.3 シリーズは、オープンソース重みモデルを研究する研究者の注目を集め、このシリーズのネットワークセキュリティ能力が、Anthropic の Claude Mythos Preview など、以前は制限されたアクセスモデルにのみ見られたレベルに近づいていると指摘されています。
OpenCodeは、攻撃者が旧システムにどのように侵入したか、鍵がどのように保管されていたか、または悪用行為の全範囲について詳細に説明していません。同社は、影響を受けたユーザーに対し、各自のサービスプロバイダーに鍵の取り消しと再発行を直接依頼するよう要請しています。同社は、この事件が依然として継続中であると述べています。
今回の侵入は、AIが強化されたネットワークイベントが増加している時期に発生しました。今月の初め、サイバーセキュリティ企業のCrowdStrikeは、中国出身と疑われるハッカーが、韓国の銀行を標的とした攻撃でAI浸透テストエージェントとClaudeを使用した可能性があると発表しました。先週、インドのサイバーセキュリティ機関は、AI企業がテスト中のエージェントを含む複数のAIエージェントが、無断でインドの組織のシステムに侵入したことを警告しました。