OpenCode によると、OpenCode Console ユーザーの約 1.4% がセキュリティインシデントの影響を受けました。同社は北京時間 10 月 18 日 2 時 8 分に X へ投稿し、「a security breach last night related to a large scale distillation attack」があったと説明しています。「breach」も「large scale distillation attack（大規模な蒸留攻撃）」も OpenCode 自身の表現で、攻撃の具体的な内容については説明していません。
影響を受けたユーザー
OpenCode によれば、影響を受けたのは Console ユーザーのうち、外部プロバイダーをアカウントに連携していた一部のユーザーです。対象者全員にはすでにメールで通知しており、メールが届いていなければ影響はないとしています。この一文は、北京時間 1 時 56 分に最初に投稿された内容を 12 分後に編集した際に追加されたものです。割合は示されていますが、実際の人数は明らかにされていません。
インシデントは現在も続いており、OpenCode は現時点ではこれ以上の詳細を共有できないとしています。そのうえで、「Anthropic、OpenAI、Google と協力して対処を進めている」と述べています。X での OpenCode の公開投稿は、キーが流出したかどうかには触れておらず、攻撃がどのように行われたかも説明していません。ただし Notebookcheck によると、OpenCode が影響を受けたユーザーに送ったメールでは、廃止作業を進めていたレガシーシステムに何者かが不正にアクセスしたこと、そしてワークスペースに保存されていた OpenAI や Anthropic などのサードパーティプロバイダーのキーが流出した可能性があることが伝えられていました。Notebookcheck はまた、Reddit 上で一部のユーザーが、プロバイダーのアカウントに身に覚えのない請求があったと報告していると伝えています。
Notebookcheck によると、OpenCode のメールは影響を受けたユーザーに対し、各プロバイダー側でキーを無効化して新しいキーに置き換えること、そのキーを使っているアプリケーションを更新すること、最近の利用状況に不審な動きがないか確認することを求めているとされます。
Anthropic と OpenCode のスタッフの発言
両社のスタッフも個人アカウントで投稿していますが、これらは各社の公式声明ではありません。北京時間 5 時 4 分、X のプロフィールによれば Anthropic の Claude Code チームに所属する Lydia Hallie 氏が、OpenCode の投稿を引用して「昨日の breach について OpenCode と連携して対応しており、影響を受けたとみられる Claude の API キーを無効化した」と投稿しました。さらに、OpenCode にキーを保存していて念のため慎重を期したい人は、新しいキーを作成してほしいと呼びかけています。
5 時 38 分には、プロフィールに Anomaly で OpenCode を開発していると記している Dax 氏（@thdxr）が、Hallie 氏に「これは OpenCode Console の話で、OpenCode 本体ではない。そちらのキーは私たちのところには一切来ない（those keys never come to us）」と返信しています。Dax 氏は詳しく説明していませんが、編集部の理解では、二つの製品を区別した発言で、ローカルの OpenCode ツールに入力したキーは OpenCode のサーバーを経由せず、OpenCode Console に保存したキーとは別の話だという趣旨とみられます。Dax 氏はその後の X での返信で、影響を受けたユーザー全員にすでに連絡しており、返金もすでに進めていると説明しました。それでもメールでの連絡を呼びかけているのは、通知メールを見落とした人がいないようにするためだとしています。
OpenCode が詳細を公表した時点で、この記事を更新します。