오픈소스 AI 코딩 에이전트 OpenCode는 자사 온라인 플랫폼 OpenCode Console의 구형 시스템이 밤사이 침해됐다고 밝혔다. 회사에 따르면 Console 이용자 중 1.4%가 영향을 받았고, 해당 이용자에게는 이메일로 통지했다. 노출된 대상은 일부 사용자가 Console 작업공간에 저장해 둔 AI 서비스용 API 키였다. 이후 Reddit와 X에는 OpenAI, Anthropic, Google AI 계정에서 지출 알림이 연달아 발생했거나 수백 달러, 일부는 1,000달러를 넘는 청구가 있었다는 사용자 보고가 올라왔다.
회사는 이번 일을 대규모 디스틸레이션 공격과 관련된 보안 침해로 설명했지만, 구체적인 방식은 밝히지 않았다. 기사에 따르면 유출된 API 키는 미국 모델 접근이 제한된 지역에서 대량 출력이 필요한 작업에 악용될 수 있다. 다만 일부는 단순 침해 사건일 수 있다고 봤다. Anthropic과 Google은 노출된 것으로 판단한 키를 차단했고, OpenAI는 OpenCode와 협력해 접근 복구와 공격 중 사용된 크레딧 환불을 진행했다고 밝혔다. 공동창업자는 피해 범위가 Console에 한정되며 오픈소스 앱과 명령줄 도구는 영향을 받지 않았다고 설명했다.