オープンソースのAIコーディングツール「OpenCode」の運営元が2026年10月17日、同社の旧システムに何者かが侵入し、利用者が「OpenCode Console」に保存した外部AIのAPIキーが流出した恐れがあると利用者に通知した。対象はConsole利用者の1.4%。OpenAI、Anthropic、Googleの鍵を預けていた人から、身に覚えのない課金が出たという報告が続いている。

APIキーとは、AIサービスを自分のアカウントの費用で呼び出すための、合言葉のような文字列のことだ。これが他人の手に渡れば、持ち主の請求書で好きなだけAIを動かされる。

Cursor や GitHub Copilot のように、自分のキーを登録して使える製品が増えたいま、この事故は「OpenCodeを使っていない人」にも無関係ではない。AIを選ぶときの物差しに、性能と料金のほかに鍵がどこに置かれるかが加わったからだ。

⚠ 情報の鮮度について
OpenCodeが利用者へ通知したのは2026年10月17日で、公開の時点で最長でも約84時間が経過しています。10月19日にはTechCrunch、BleepingComputer、The Hacker Newsなどが相次いで報じました。運営元はこの件を「進行中」としており、不正課金の金額は利用者本人の申告です。運営元や各社が確かめた数字ではありません。数字と各社の対応は、10月20日までに報じられた内容です。
Section 01

何が起きたか──10月16日夜から19日まで

OpenCodeは、AIにコードを書かせるオープンソースのツールで、コマンドライン版とデスクトップアプリがある。今回の件は、そのツール本体ではなく、同じ運営元が提供するホスト型の任意サービス「Console」の側で起きた。報じられた経過を日付順に並べる。

2026年10月16日夜

旧システムに何者かが侵入　廃止作業の途中だった古いシステムだと報じられている。夜という時間帯の基準（現地か協定世界時か）は伝えられていない。

10月17日 0時30分（協定世界時）

鍵が流出した可能性が最も早い時刻として、一部の媒体が伝えた時刻　日本時間では17日の午前9時30分にあたる。BleepingComputerとeSecurity Planetが運営元の通知に基づいて伝えたが、The Hacker Newsは侵入の開始時刻を運営元は明かしていないとしており、報道は割れている（※観測）。

10月17日

運営元が影響を受けた利用者へメールで通知　メールが来なかった人は対象外だと説明した。運営元は同日、この件を大規模な蒸留攻撃（distillation attack）に関連する侵害だと表現している。

10月18日

共同創業者のDax Raad氏が、過去48時間にわたって攻撃が続いていたと投稿　対応は進行中とされた。

10月19日

TechCrunchなどが報道　同紙によれば、AnthropicとGoogleは流出が疑われる鍵を止め、OpenAIは攻撃で消費されたクレジットをAPI顧客に返金すると説明した。

1.4% 通知を受けたConsole利用者の割合
48時間 攻撃が続いたと運営元が説明した期間
1,700ドル 利用者が申告した最大の被害額
一言でまとめると──「流出の恐れがあるのは、OpenCodeの中継サービスConsoleに預けた他社AIの鍵です。手元のアプリに入れた鍵は、運営元の説明では対象外です」。
Section 02

OpenCode Consoleとは──預けた鍵と、手元に置いた鍵

ConsoleはOpenCodeの任意利用のホスト型サービスで、管理者がOpenAIやAnthropicなどの鍵を共有のワークスペースに保存しておく仕組みだ。同僚はその鍵そのものに触れずに、つながったAIモデルを使える。リクエストは運営元のゲートウェイ（中継サーバー）を通る。

便利なぶん、鍵が運営元のシステムの中に残る。今回の通知が対象にしたのは、まさにこの保存された鍵だ。Raad氏は、問題になっているのはOpenCode本体ではなくConsoleであり、手元のアプリに設定した鍵は運営元のサーバーに届かないと説明している。

ここで見落としやすい点が2つある。The Hacker Newsによれば、Consoleから鍵を削除しても、鍵そのものが無効になるわけではない。また、Console側で設定した予算の上限も、すでに複製された鍵の使用は止められない。Consoleが見られるのは、自分のゲートウェイを通った要求だけだからだ。

Section 03

不正課金の報告と、各社の対応

被害額は、報道で名前の出た利用者本人の申告にとどまる。次の表は、報じられた主な例だ。いずれも運営元や各社による確認は示されていない。

報告した人 対象のAI 申告された金額 報じた媒体
Colin Parsons氏 OpenAI／Anthropic 281ドル／168ドル The Hacker News、eSecurity Planet
Redditの利用者 Anthropic 約400ドル Notebookcheck
Preston Zeller氏 （不明） 約1,700ドル The Hacker News

Googleの鍵では、金額よりもプロジェクトの停止が目立つ。BleepingComputerは、乗っ取られたリソースに当てはまる不正な動作があるとして、Googleが利用者のプロジェクトを停止した例があると伝えている。

各社の動きは報道によって濃淡がある。TechCrunchとeSecurity Planetは、AnthropicとGoogleが流出の疑われる鍵を止めたと書いた。OpenAIについては、TechCrunchが、OpenCodeと協力してアクセスを復旧し、攻撃で使われたクレジットをAPI顧客に返金すると伝えている。一方、The Hacker NewsとBleepingComputerの記事は、3社が「OpenCodeと対応にあたっている」とだけ書き、各社の個別の措置までは載せていない。各社自身の声明は、確認した範囲では見当たらなかった。

Section 04

まだ分かっていないこと

運営元は、侵入の経路も、鍵がどう保管されていたかも明らかにしていない。報道が「不明」とした点を整理する。

01
どうやって入られたのか

侵入先は「廃止作業中の旧システム」とされるだけで、何のシステムで、どう到達されたかは説明されていない。

02
鍵は暗号化されていたのか

BleepingComputerは、保管が平文だったか暗号化されていたかが示されていないと指摘した。ここが分からないと、流出の恐れの重さが測れない。

03
「蒸留攻撃」とのつながり

運営元は蒸留攻撃に関連すると述べたが、その仕組みは説明していない。独立したセキュリティの専門家からは、単純な不正侵入だと見る声が出ており、蒸留に使われたという主張は検証されていない（※観測）。

04
対象者の実数

「1.4%」は割合であり、人数は公表されていない。保存されていた鍵の総数と、実際に使われた鍵の数も不明だ。

Section 05

鍵の置き場所で、AIツールを比べる

自分のAPIキーを持ち込める製品は、鍵の扱い方で大きく3通りに分かれる。今回流出の恐れが出たのは、いちばん上の「運営元のサーバーに保存する」型だ。

置き場所の型 例 公式の説明・報道
運営元のサーバーに保存 OpenCode Console 共有ワークスペースに保存。今回、流出の恐れが通知された
要求のたびに運営元へ送る（保存はしない） Cursor 公式ヘルプによれば、キーは同社のサーバーに保存されず、リクエストのたびに同社のバックエンドへ送られ、完了後は保持されない
端末の中だけに保存 GitHub Copilotのローカル版BYOK、OpenCodeの手元のアプリ GitHubの文書によれば、キーはローカルに保存され、他のユーザーは使えない。OpenCodeも手元の鍵は運営元に届かないとする

確認した範囲では、CursorやGitHub Copilotが今回の事案の影響を受けたという報道はない（TechCrunchはCursorを、OpenCodeの競合として挙げているだけだ）。表は優劣の判定ではなく、鍵がどこで止まるかの整理だ。Cursorの「保存しない」は運営元自身の説明であり、第三者の検証を経たものではない。端末の中に置いた鍵も、端末が乗っ取られれば同じ危険にさらされる。

Cursorは鍵を使えるのがチャット系のモデルに限られ、補完機能は自社のモデルを使い続ける、とも公式ヘルプに書かれている。Cursorで他社モデルを使うときの課金の変わり方は、別の記事で整理した。

ⓘ 組織のGitHub Copilotでは、管理者が止められます
GitHubの文書によれば、CopilotのBusinessやEnterpriseでは、IDEでローカルBYOKを使えるかどうかを、企業や組織のポリシーで無効にできます。社内で誰がどのキーを持ち込んでいるかを把握したい管理者は、まずこの設定を確かめてください。
Section 06

OpenCodeのAPIキー流出で、何をすべきか

自分がどこに当てはまるかで、動き方が変わる。

A
通知メールが届いた人：鍵を入れ替える

各AIの管理画面で、該当の鍵を無効にして新しい鍵を作る。その鍵を使っていたアプリや自動処理をすべて新しい鍵に更新する。そのうえで、10月16日以降の利用量と請求に身に覚えのないものがないかを見る。Consoleから消すだけでは無効にならないので、必ず各社の画面で行う。

B
メールが届いていない人：対象外と説明されている

運営元は、メールが来なかった人は影響を受けていないと説明している。Consoleに鍵を預けた覚えがあるなら、入れ替えは数分で済む作業なので、確かめる手間のほうが大きいときは入れ替えてしまってよい。

C
Cursorなどに自分の鍵を登録している人：鍵ごとに用途を分ける

eSecurity PlanetとThe Hacker Newsは、アプリごとに別の鍵を使うこと、各社の画面で利用額の上限や通知を設定することを勧めている。鍵が1本だと、どのツールから漏れたのか後から追えず、被害も全部に及ぶ。

⚠ 上限の設定は各社の画面で行います
利用額の上限や通知の設定は、OpenAI、Anthropic、Googleでそれぞれ画面と名称が違います。Consoleの予算機能は、複製された鍵の使用を止められません。上限は必ず各社の側で設定してください。
Section 07

編集部の見立て

Editor's Opinion

今回の件でいちばん見ておきたいのは、被害額よりも、鍵が「廃止作業中の旧システム」に残っていた点です。新しい機能は作りたてのうちに守られますが、役目を終えようとしているシステムは、手入れが後回しになります。そこに他社のAIを動かせる鍵が置かれていたことが、今回の核心だと考えます。

AIツールを比べるとき、これまでは性能・料金・使い勝手の3つを見れば足りました。鍵を持ち込める製品が並ぶようになった現在は、そこに鍵がどこに保存され、何を通って送られるかという列が加わります。性能と料金が近い製品が増えるほど、こうした運用上の差が、選ぶ理由として前に出てきます。

運営元の「蒸留攻撃」という説明は、いまのところ裏づけがありません。損失が出ている以上、まず起きたことを不正侵入として受け止め、説明が検証されるまで、原因の話と自分の鍵の対処を切り離して考えるのが筋だと思います。

Section 08

まとめ

2026年10月17日、OpenCodeは旧システムへの侵入により、Consoleに保存された外部AIのAPIキーが流出した恐れがあると、利用者の1.4%に通知しました。流出の可能性が最も早い時刻は、協定世界時の17日0時30分（日本時間9時30分）と一部の媒体が伝えていますが、確定した情報ではありません。

OpenAI、Anthropic、Googleの鍵で、数百ドルから約1,700ドルまでの不正課金の報告が出ています。TechCrunchによれば、AnthropicとGoogleは鍵を止め、OpenAIは返金を約束しました。侵入の経路、鍵が暗号化されていたか、対象者の実数は、まだ明かされていません。

通知が届いた人は、各社の画面で鍵を無効にして入れ替え、10月16日以降の請求を見てください。届いていない人も、鍵を持ち込む製品を使っているなら、鍵をアプリごとに分け、上限を各社の側で設定しておくと被害を小さくできます。

OpenCodeがまだ答えていないのは、侵入経路、鍵の保管方式、対象者の実数の3点である。報じられた不正課金の最初の確認材料は、10月分の請求書に載る。