오픈코드, '증류 공격'에 뚫려 API 키 유출…오픈AI·앤트로픽 잔액 빠져나가

오픈소스 코딩 에이전트 오픈코드(OpenCode)가 해킹을 당해 일부 이용자가 연결해 둔 오픈AI·앤트로픽·구글 API 키가 유출됐다.

17일(현지시간) 오픈코드 공식 X 계정에 따르면 전날 밤 '대규모 증류 공격'과 관련된 보안 침해가 일어나 오픈코드 콘솔 이용자의 1.4%가 피해를 봤다. 외부 AI 업체 키를 연결해 둔 이용자 일부가 대상이며, 회사는 이들에게 이메일로 알렸다. 오픈코드는 "사고가 진행 중이라 자세한 내용은 밝힐 수 없다"며 앤트로픽·오픈AI·구글과 함께 대응하고 있다고 밝혔다. 이 공지는 조회수 51만회를 넘겼다.

스타트업포천에 따르면 키는 운영사 애노멀리 이노베이션스(옛 SST)가 정리하던 옛 콘솔 시스템을 통해 새어 나간 것으로 알려졌다.

피해 글도 잇따랐다. 맥스 와인바크는 "오픈AI와 앤트로픽 잔액이 털렸고 구글 계정은 제한이 걸렸다"고 X에 썼다. 그는 크레디트 약 450달러와 직접 결제한 16달러를 잃었다고 덧붙였다. 개발자 크리스 신코는 잠들기 전 오픈AI·앤트로픽·구글의 지출 알림이 한꺼번에 울렸다고 전했다. 보안 전문가 맷 요한센이 "오픈코드 해킹 확인, 키 도난"이라고 올린 글은 '좋아요' 1천900개를 받았다.

앤트로픽의 리디아 할리는 "피해가 의심되는 클로드 API 키를 폐기했다"며 오픈코드에 키를 저장했던 이용자는 새 키를 만들라고 권했다. 오픈코드 개발진인 댁스는 "내 개인 계정도 공격받고 있다"며 "AI로 해킹하는 완전히 새로운 세상"이라고 썼다.