OpenCode Console 침해 — 사용자 1.4%가 저장한 OpenAI·앤트로픽·구글 API 키 노출, 무단 과금 잇따라 | 뉴스

오픈소스 AI 코딩 에이전트 OpenCode는 10월 17일(현지시간) X를 통해 호스팅 서비스 OpenCode Console이 침해돼, 외부 AI 제공사 키를 연결해 둔 Console 사용자 1.4%의 OpenAI·앤트로픽·구글 API 키가 노출됐을 수 있다고 밝혔다.

회사는 이번 침해가 "대규모 증류(distillation) 공격과 관련돼 있다"고 설명했고, 영향받은 사용자 전원에게 메일을 보냈다. 영향 범위는 웹에서 키를 저장한 Console 워크스페이스로 한정되며, 로컬에서 돌리는 OpenCode CLI·데스크톱 앱은 해당되지 않는다고 공동창업자 댁스 라드(Dax Raad)는 말했다. 사용자들 사이에서는 하룻밤 새 수백~1,000달러 넘는 무단 과금이 발생했다는 보고가 이어졌다.

3줄 요약

OpenCode는 "폐기 작업 중이던 레거시 시스템"에 무단 접근이 있었고, 워크스페이스에 저장된 제3자 제공사 키가 노출됐을 수 있다고 영향받은 사용자에게 알렸다.
앤트로픽과 구글은 노출이 의심되는 키를 차단했고, OpenAI는 OpenCode와 협력해 접근을 복구하고 공격에 쓰인 크레딧을 환불했다고 TechCrunch는 보도했다.
메일을 받았다면 제공사 대시보드에서 직접 키를 폐기·재발급하고 사용 내역을 확인해야 한다. Console에서 키를 지우는 것만으로는 키가 무효화되지 않는다.

1.4%

영향받은 OpenCode Console 사용자 비율 (실제 인원은 비공개)

3곳

키가 노출됐을 수 있는 제공사: OpenAI·앤트로픽·구글

48시간

라드가 밝힌, 공격자가 쉬지 않고 시스템을 두드린 기간

$1,000+

일부 사용자가 보고한 하룻밤 무단 과금 규모 (TechCrunch)

무슨 일이"어젯밤 침해가 있었다" — 짧은 공지, 많은 질문

OpenCode 공식 계정은 미국 시간 10월 17일 오전(UTC 17:56)에 첫 공지를 올렸고, 12분 뒤 내용을 보강해 수정했다. 수정된 공지는 이렇다. "어젯밤 대규모 증류 공격과 관련된 보안 침해가 있었고 OpenCode Console 사용자의 1.4%가 영향을 받았다. 오늘 아침 이들 모두에게 메일로 알렸다. 메일을 받지 못했다면 영향이 없다. 외부 제공사를 연결해 둔 일부 사용자다. 사고가 진행 중이라 지금은 더 자세히 밝힐 수 없지만 앤트로픽, OpenAI, 구글과 함께 대응하고 있다."

영향받은 사용자가 받은 메일은 조금 더 구체적이다. 해커뉴스에 메일을 그대로 옮긴 사용자와 인포시큐리티 매거진(Infosecurity Magazine)의 보도에 따르면, OpenCode는 "폐기(decommissioning) 절차를 밟던 레거시 시스템에 대한 무단 접근을 확인했다"며 "워크스페이스에 저장한 제3자 제공사 키(예: OpenAI, 앤트로픽)가 노출됐을 수 있다"고 적었다. 그리고 해당 제공사 대시보드에서 키를 폐기하고 교체할 것, 그 키를 쓰는 애플리케이션을 업데이트할 것, 최근 사용 내역에서 예상치 못한 활동을 확인할 것을 요청했다. 인포시큐리티는 메일 제목이 "Action Required: Potential provider key breach"였다고 전했다.

OpenCode Console은 사용자가 웹에 로그인해 여러 AI 제공사 키를 워크스페이스에 등록하고 팀이 함께 모델에 접근하게 해 주는 호스팅 서비스다. 공동창업자 댁스 라드는 X에서 "이건 OpenCode Console 얘기지 OpenCode 자체가 아니다. 그 키들은 우리에게 오지 않는다"고 강조했다. 터미널에서 자기 키로 돌리는 CLI 사용자는 이번 사고와 무관하다는 뜻이다.

"증류 공격"이라는 표현을 둘러싼 논란

증류는 큰 모델의 출력을 대량으로 모아 작은 모델을 학습시키는 기법이다. 정상적인 연구 기법이지만, 남의 계정과 키로 무단 질의를 쏟아부으면 공격이 된다. OpenCode는 증류가 어떤 식으로 이뤄졌는지 설명하지 않았다. TechCrunch는 유출된 API 키가 미국 모델 접근이 막힌 나라의 사용자들이 증류에 필요한 대량 출력을 만드는 데 쓰일 수 있다고 짚으면서도, 단순 침해 사고를 증류 공격으로 포장한 것은 과하다는 회의론도 함께 전했다.

해커뉴스에서도 같은 질문이 쏟아졌다. "증류 공격이 어떻게 자격 증명 유출로 이어지나"라는 물음에, 다수는 "탈취한 키로 증류를 했다는 뜻"으로 읽었다. 한편 제목이 "OpenCode 해킹"이라 CLI까지 뚫린 것처럼 읽힌다며 "OpenCode Console"로 고쳐야 한다는 댓글도 많았다. 이 글은 974포인트, 댓글 185개를 기록했다.

대응48시간 공방, 그리고 AI 안전장치의 역설

TechCrunch에 따르면 라드는 공격자들이 48시간 동안 쉬지 않고 시스템 침입을 시도했고, 팀은 방어용 AI 에이전트를 24시간 돌려야 했다고 밝혔다. 분석에 쓰던 AI 모델들은 한동안 도움이 됐지만, 분석 대상인 악성 코드가 안전 필터에 걸리자 작업을 거부하기 시작했다. 라드는 "좀 답답했다"고 적었다.

상황은 OpenCode가 OpenAI의 Daybreak Blue 프로그램 접근 권한을 받은 뒤 나아졌다. 이 프로그램은 검증된 사용자에게 방어 보안 작업 요청을 덜 거부하는 모델을 제공한다. TechCrunch는 7월 허깅페이스가 침입 로그 분석 중 상용 모델에 막혔던 사례를 함께 소개했고, 백악관 과학기술자문위원회(PCAST) 공동의장 데이비드 색스는 X에 "가드레일이 역효과를 냈다"고 썼다.

10월 16일 밤 (미국)

레거시 시스템 침입

인포시큐리티 매거진은 침입이 10월 16일 밤에 일어났다고 전했다. 같은 날 밤 OpenCode는 GLM-5.3-Flash를 무료로 풀었다고 TechCrunch는 보도했다.

10월 17일 오전

영향 사용자에 메일 발송

"Action Required: Potential provider key breach" 메일로 키 폐기·교체를 요청했다.

10월 17일 17:56 UTC

X 공지, 12분 뒤 수정

1.4% 영향, 메일 안 받았으면 무관, 앤트로픽·OpenAI·구글과 대응 중이라고 밝혔다. 한국 시간으로는 18일 새벽 2시 56분이다.

10월 17~18일

무단 과금 보고 확산

레딧과 X에 지출 알림과 과금 내역이 올라왔다. 해커뉴스 글이 974포인트까지 올랐다.

10월 19일

제공사 조치 보도

TechCrunch는 앤트로픽·구글이 키를 차단했고, OpenAI가 환불했으며, OpenCode도 무단 과금 환불을 진행 중이라고 전했다.

날짜는 출처마다 조금씩 다르다. StepSecurity는 공개 시점을 10월 18일로 적었는데, 공지 시각(UTC 17일 17:56)이 아시아 시간대로는 18일이어서 생긴 차이로 보인다. 이 글은 현지(미국) 시간 기준으로 썼다.

범위누가 위험하고, 누가 괜찮은가

공식 확인과 커뮤니티 해석을 구분했다. 마지막 줄은 공식 발표가 아니다.
구분	영향 여부	근거
Console에 외부 제공사 키를 연결한 사용자 (메일 수신)	영향 있음 — 키 즉시 폐기	OpenCode 공지·메일
Console 사용자지만 메일 미수신	영향 없음 (회사 발표 기준)	"메일을 못 받았다면 영향 없다" — 그래도 점검 권장
OpenCode CLI·데스크톱 앱만 사용	영향 없음	라드: "그 키들은 우리에게 오지 않는다"
OpenCode Zen·Go 구독 (자체 키 미등록)	공식 언급 없음	해커뉴스에선 BYOK 키 등록 여부가 관건이라는 해석이 많음

아직 공개되지 않은 것도 많다. 레거시 시스템이 무엇이었는지, 공격자가 어떻게 들어갔는지, 키가 어떤 형태로 저장돼 있었는지, 1.4%가 실제 몇 명인지, 공격자가 누구인지 OpenCode는 밝히지 않았다. 인포시큐리티는 OpenCode와 모회사 애노멀리(Anomaly)에 문의했지만 답을 듣지 못했다고 적었다. 같은 기사에 따르면 OpenCode는 깃허브 스타 21만7,000개를 받은 프로젝트이고, CEO 제이 V는 7월 Y컴비네이터 인터뷰에서 월간 활성 사용자가 약 1,300만 명이라고 주장했다. 1.4%라는 비율이 결코 작게 느껴지지 않는 이유다.

영삼

영삼의 한마디

나도 여러 제공사 키를 한곳에 모아 쓰는 게이트웨이 서비스를 몇 번 써 봤다. 편하다. 그런데 이번 사고는 그 편함의 비용을 정확히 보여 준다. 키를 남의 서버에 맡기는 순간, 그 회사의 가장 오래되고 가장 덜 관리되는 시스템이 내 보안의 하한선이 된다. 폐기 직전의 레거시 시스템이 뚫렸다는 대목이 특히 아프다. 내 서버에서도 "곧 끌 거니까" 하고 패치를 미룬 장비가 늘 제일 위험했다. 키를 꼭 맡겨야 한다면 그 서비스 전용으로, 한도를 걸어 발급하는 습관이 답이라고 본다.

개발자가 할 일메일을 받았든 안 받았든 10분만 쓰자

가장 중요한 건 순서다. Console에서 키를 삭제해도 제공사 쪽에서 키가 살아 있으면 공격자는 계속 쓸 수 있다. 반드시 OpenAI·앤트로픽·구글 콘솔에서 직접 폐기해야 한다. 인포시큐리티가 인용한 대응 가이드는 새 키를 먼저 만들고, 옛 키를 폐기한 뒤, 옛 키로 호출하면 인증 오류가 나는지 확인하라고 권한다.

키 노출 대응 체크리스트

메일함에서 "Action Required: Potential provider key breach" 제목을 검색한다.
Console 워크스페이스에 등록했던 키 목록을 만든다. 다른 관리자가 넣은 키도 포함한다.
각 제공사의 사용량·청구 내역을 10월 16일 이후(가능하면 그 이전부터) 확인한다. 낯선 모델, 급증한 토큰을 찾는다.
프로젝트 범위와 지출 한도를 건 새 키를 발급하고, 옛 키를 제공사 대시보드에서 폐기한다.
CI/CD 시크릿, .env, 서버, 팀원 로컬 설정에서 옛 키를 모두 교체한다.
구글 클라우드 프로젝트가 정지됐거나 과금이 발생했다면 제공사와 OpenCode에 환불을 요청한다.

사내에서 누가 OpenCode를 쓰는지부터 모른다면, StepSecurity가 제시한 확인 방법이 출발점이 될 수 있다. 아래 명령은 설치 여부와 로컬에 연결된 제공사를 확인하는 용도다. 로컬 키는 이번 사고 범위 밖이라는 게 회사 설명이지만, 어떤 키가 어디에 연결돼 있는지 파악해 두면 교체 범위를 정하기 쉽다.

# OpenCode 설치 여부 확인 (macOS/Linux)
which opencode
ls ~/.config/opencode
# StepSecurity가 안내한 로컬 제공사 연결 정보 위치
ls ~/.local/share/opencode/auth.json

앞으로 OpenCode가 내놓을 원인 분석(RCA)이 관건이다. 레거시 시스템에 키가 왜 남아 있었는지, 키를 어떻게 암호화해 보관했는지, 증류와의 연관을 무엇으로 판단했는지가 나와야 사용자들이 Console을 계속 쓸지 결정할 수 있다. 회사는 신뢰 센터 페이지(trust.opencode.ai)를 운영하고 있지만, 사고 직후 공개된 정보는 X 게시물 몇 줄과 메일 한 통이 전부다.

자주 묻는 질문

OpenCode 해킹으로 무엇이 유출됐나?

OpenCode Console 워크스페이스에 저장된 OpenAI·앤트로픽·구글 등 제3자 AI 제공사 API 키가 노출됐을 수 있다. 회사는 폐기 중이던 레거시 시스템에 무단 접근이 있었다고 밝혔고, Console 사용자의 1.4%가 영향을 받았다. 그 밖에 어떤 데이터가 접근됐는지는 공개되지 않았다.

OpenCode CLI만 쓰는데 키를 바꿔야 하나?

회사 설명으로는 필요 없다. 공동창업자 댁스 라드는 이번 사고가 호스팅 서비스 OpenCode Console에 한정되며 CLI 사용자의 키는 회사로 오지 않는다고 밝혔다. 다만 같은 키를 Console에도 등록한 적이 있다면 교체하는 편이 안전하다.

OpenCode 침해 메일을 받았다면 어떻게 하나?

해당 제공사 대시보드에서 키를 직접 폐기하고 새 키로 교체해야 한다. Console에서 키를 지우는 것만으로는 무효화되지 않는다. 이후 10월 16일 이후 사용 내역과 청구서를 확인하고, 무단 과금이 있으면 환불을 요청한다.

OpenCode 무단 과금은 환불되나?

TechCrunch에 따르면 OpenCode는 무단 과금 환불을 진행 중이라고 밝혔고, OpenAI는 공격에 쓰인 크레딧을 환불했다. 앤트로픽과 구글은 노출이 의심되는 키를 차단했다. 개별 환불 조건은 각 제공사와 OpenCode에 직접 확인해야 한다.

증류 공격이란 무엇인가?

증류 공격은 남의 계정이나 탈취한 API 키로 상위 AI 모델에 대량 질의를 보내, 그 출력으로 다른 모델을 학습시키는 행위를 말한다. 증류 자체는 정상적인 머신러닝 기법이지만 무단으로 하면 공격이 된다. OpenCode는 이번 사고가 증류 공격과 관련 있다고 했으나 구체적인 근거는 공개하지 않았다.