【悲報】OpenCode、APIキー漏えい｜OpenCode利用者は絶対見て

コーディングツールの OpenCode が、不正アクセスを受けたと発表しました。OpenCode Console のワークスペースに保存していた OpenAI・Anthropic などの API キーが、漏れた可能性があります。何が起きたか、「1.4%」の意味、API キーが漏れると何がまずいか、どこにキーを置いていたら危ないか（実演）、今すぐやることをまとめました。 ▼ チャプター 0:00 オープニング 0:25 何が起きたか 2:14 1.4%は小さくない 3:23 APIキーが漏れると何がまずいか 4:41 どこに置いていたらまずいか（実演） 6:32 今すぐやること ▼ 今すぐやること（OpenCode Console に外部のキーをつないでいた方） 1. OpenAI・Anthropic・Google などの管理画面で、キーを取り消して作り直す 2. 最近の使用量と請求を確かめる 3. 使いすぎの上限を決め、自動チャージを止める メールが来ていなくても、公式の調査が終わって安全と分かるまでは、Console につないだ外部のキーは取り下げておくのが時短ラボの考えです。作り直したキーも、調査が終わるまで Console につなぎ直さないことをおすすめします。 ▼ 出典 OpenCode 公式X（10月18日 2:56）https://x.com/opencode/status/2111516673953935833 OpenCode 公式X（10月18日 3:08）https://x.com/opencode/status/2111519637049319818 Matt Johansen のX（10月18日 0:30）https://x.com/mattjay/status/2111480005435719885 OpenCode Console の説明書（Providers）https://opencode.ai/v2/docs/console/providers/ OpenCode の説明書（Providers）https://opencode.ai/docs/providers/ OpenCode 公式サイト https://opencode.ai/ ▼ 但し書き ・時刻はすべて日本時間です。内容は10月18日早朝の時点のもので、OpenCode の調査は続いています。 ・利用者に届いたメールの文面は、Matt Johansen さんの投稿に添えられた画像（r/opencode に出たもの）から紹介しています。 ・実演は、撮影用に分けた環境で、偽のキー（本物ではない文字列）を使っています。 ・OpenCode 全体の利用者数（毎月1,600万人以上の開発者）は公式サイトの表記です。OpenCode Console の利用者数は公表されていません。 ・ログインせずに無料のモデルだけを使っていた場合はキーを預けていないため、今回の対象には当たらないとみられます（公式の発表とメールの文面からの判断です）。 ■ お仕事のご依頼 タイアップ・案件のご相談: [email protected] (For business inquiries: [email protected]) 【クレジット】 ・音声：VOICEVOX（ずんだもん／四国めたん） ・BGM：魔王魂 https://maou.audio/