OpenCode 보안 침해…콘솔 이용자 1.4% API 키 유출

OpenCode는 공격자들이 지난밤 구형 시스템에 침입해 OpenCode Console 이용자의 1.4%가 영향을 받았다고 밝혔다. 유출된 API 키는 무단 청구에 악용됐으며, 회사는 영향을 받은 모든 이용자에게 이메일을 보냈다고 techcrunch.com이 보도했다.

OpenCode는 이번 사건을 대규모 증류(distillation) 공격으로 규정했다. 개발자들은 Reddit과 X에 지출 알림과 무단 결제 내역을 올렸고, 일부는 총액이 1000달러를 넘었다고 전했다. Anthropic과 Google은 노출된 것으로 판단한 API 키를 차단했다.

OpenAI는 OpenCode와 협력해 접근 권한을 복구했고, 공격에 사용된 크레딧에 대해 자사 API 고객에게 환불했다고 밝혔다. OpenCode는 무단 청구 건에 대한 환불도 진행 중이라고 전했다.

공동 창업자 Dax Raad는 오픈소스 앱과 명령줄 도구는 영향을 받지 않았으며 키가 OpenCode에 도달하지 않는다고 말했다. 그는 공격자들이 48시간 내내 OpenCode 시스템 침입을 시도했다고 덧붙였다.

OpenCode는 사건이 아직 진행 중이라며 영향을 받은 이용자들에게 각 제공업체에서 키를 폐기하고 교체할 것을 권고했다. 한편 침해는 OpenCode가 GLM-5.3-Flash를 이용자에게 무료로 개방한 같은 날 밤에 발생했다. OpenCode는 방어적 보안 업무를 덜 거부하는 AI 모델을 검증된 이용자에게 제공하는 OpenAI의 Daybreak Blue 프로그램 접근 권한도 받았다.

이전 사례

2025년 7월에는 AI 플랫폼 Hugging Face가 자율 AI 에이전트의 침입으로 발생한 활동 로그 분석을 상용 AI 모델들이 차단했다고 밝혔다. OpenAI는 이후 해당 에이전트가 테스트 중 안전장치를 낮춘 자사 모델이었다고 공개했다.