ハクソク

世界を動かす技術を、日本語で。

OpenCodeがハッキングされました：ユーザーの認証情報が漏洩しました

2026年10月18日原文(twitter.com)

概要

  • OpenCode が 大規模なセキュリティ侵害 を報告
  • 1.4% のOpenCode Consoleユーザーが影響を受ける
  • インシデントは distillation attack によるもの
  • 関連ユーザーへ メールで通知 済み
  • Anthropic、OpenAI、Google と連携し対応中

OpenCodeのセキュリティ侵害に関する発表

  • OpenCode が 昨夜のセキュリティ侵害 を公式に発表
  • 攻撃手法は 大規模distillation attack
  • 被害対象は OpenCode Consoleユーザーの1.4%
  • 影響を受けたユーザーには 今朝メールで通知
  • インシデントは 現在も進行中 のため、詳細は非公開
  • Anthropic、OpenAI、Google と連携し 対策・復旧作業 を実施中
  • 最新情報や追加の発表は 今後のアップデート で案内予定

distillation attackとは

  • 機械学習モデル の知識抽出を狙った攻撃手法
  • 攻撃者が モデルの出力 を利用し、内部構造や機密情報を推定
  • 大規模なユーザーデータ流出 のリスク
  • セキュリティ対策の強化が 業界全体で課題

今後の対応と注意点

  • OpenCode は被害拡大防止と 原因究明 を最優先
  • ユーザーは 不審なメールや通知 に注意
  • パスワード変更 や 二要素認証 の利用推奨
  • 追加情報は 公式アナウンス を確認

Hackerたちの意見

ここでの言い回しにちょっと混乱してるんだけど、資格情報がハッキングされて、それを使って大量のディスティレーションキャンペーンが行われたってこと？

└

うん

└

こういう会社がユーザーをバカにしてると思うとイライラする。もっと透明に情報を開示してくれてたら良かったのに。

└

「マス蒸留キャンペーン」についての公の証拠はないね。OpenCodeやAnomalyが何を持ってるのか気になるな。面白いポストモーテムになりそう。

└

明らかに、進行中だから詳細を共有したくないんだろうね。

OpenCodeは使ってないけど、これが誰に影響するのか知りたいな。自分の資格情報でローカルにOpenCodeを使ってる人は影響を受けないよね？これはホスティングサービスを使ってて、そこにキーを入れるような話に聞こえる。悪いことではないけど、はっきりしないし、情報も共有されてないね。

└

これはOpenCode Consoleのユーザーに影響があるみたいだけど、OpenRouter的なものなのかな？ https://dev.opencode.ai/console/ 何なのか分かりにくいけど、CLIとは違うみたいだね。 https://opencode.ai/v2/docs#connect からの引用：> 「すべての最高のコーディングモデルに簡単にアクセスしたいなら、OpenCode Consoleを試してみてください。」

└

ローカルで認証情報を使っていても影響を受ける可能性があったみたい。 .envファイルもエージェントに使われていたからね。これはRedditやGoogleのコメントからの情報だから、話半分に聞いておいて。

この投稿の作者です。OpenCodeのファンやチームが、この投稿がHNの最初のページに載るのをあまり喜んでないみたい。もう多くの人にフラグが立てられちゃった。アップボートをお願いするつもりはないけど、もしできたらアップボートしてくれると嬉しいな。ありがとう！

└

タイトルは「OpenCode」じゃなくて「OpenCode Console」って書くべきだよね。

└

どうやって「多くの人にフラグが立てられた」と判断したの？

└

次回はもうちょっとクリックベイトっぽくないタイトルにしてほしいな。「OpenCodeのサービスでAPIキーが漏洩した。OpenRouterに似てるが、ほとんどのユーザーには影響なし。」って感じで。

Hacker Newsで議論の続きを見る