Anomaly Innovations는 10월 17일 OpenCode Console의 일부 개발자 워크스페이스에서 저장된 OpenAI, Anthropic, Google API 키가 유출됐을 수 있다고 사용자에게 알렸다. 회사 설명에 따르면 이번 침해는 아직 종료 중인 레거시 콘솔 시스템에서 발생했고, '대규모 디스틸레이션 공격'과 관련돼 있었다. 영향 범위는 OpenCode Console 이용자의 약 1.4%로 제시됐으며, 외부 제공자 계정을 연결한 일부 사용자만 대상이었다. 회사는 해당 계정들에 같은 날 이메일로 통지했다고 밝혔다.

이번 사건이 중요한 이유는 OpenCode가 사용자의 자체 자격 증명으로 동작하는 터미널 기반 코딩 에이전트이기 때문이다. 이 도구는 파일을 읽고 외부 API를 호출하며 명령을 실행하므로, 저장된 제공자 키는 단순 설정값이 아니라 실제 동작 권한에 해당한다. Anomaly Innovations 문서는 원래도 에이전트가 샌드박스되지 않으며, 권한 요청은 보안 경계가 아니라 사용성 기능이라고 안내해 왔다. 따라서 키가 저장된 지점이 침해되면 개발자가 별도로 범위를 조절했더라도 위험을 피하기 어렵고, 핵심 대응은 노출 가능성이 있는 키를 취소하고 새로 발급하는 일이다.