OpenCode Console 보안 사고: 사용자 1.4%의 외부 제공자 API 키 노출 가능성
무엇인가요
OpenCode는 10월 17일 밤 정리 중이던 옛 Console 시스템에 누군가 무단 접근했다고 밝혔어요. Console 워크스페이스에 OpenAI·Anthropic·Google 같은 외부 제공자를 연결해 둔 사용자 1.4%가 영향을 받았고 해당 사용자에게는 이메일로 알렸다고 해요. 회사는 이번 일을 대규모 증류 공격(다른 모델의 답을 대량으로 뽑아 학습에 쓰는 행위)과 관련 있다고 보고 있고 사고는 아직 진행 중이에요.
왜 중요한가요
코딩 에이전트에 맡겨 둔 제공자 키가 한 번에 털리면 요금 폭탄과 키 남용이 바로 이어져요. 이메일을 받지 않았다면 영향이 없다고 하지만 Console에 키를 저장했다면 각 제공자 대시보드에서 키를 새로 발급하고 최근 사용량을 확인하는 편이 안전해요. 에이전트 도구에 키를 맡기는 팀이라면 키 범위와 지출 한도를 다시 점검할 때예요.
완성도
GA 정식OpenCode가 공식 계정으로 확인한 사고예요. 침입 경로와 키 악용 여부는 아직 밝히지 않았어요.
앞으로 이렇게 지켜보세요
- 사고 보고서: OpenCode 공식 X와 블로그에 원인과 영향 범위를 담은 정식 보고서가 나오는지 봐요.
- 제공자 조치: Anthropic·OpenAI·Google이 영향받은 키를 폐기하거나 환불한다는 공지를 내는지 확인해요.
- 내 계정: 제공자 대시보드의 사용량·결제 내역에서 모르는 호출이 있는지 봐요.