OpenCodeの利用者向けメールと、OpenCode公式Xの投稿（2026年10月17日 UTC）によると、OpenCode Consoleの利用者の一部で、ワークスペースに保存していた外部プロバイダーのAPIキーが漏れた可能性があります。
OpenCode公式Xでは、影響はOpenCode Console利用者の1.4%で、外部プロバイダーを連携していた利用者の一部が対象であり、対象者全員にメールで通知済みだと説明されています。メールが来ていなければ対象外とも書かれています。調査は続いているため、原因など一次情報で確認できないことは、この記事では断定しません。
まず確認すること：対象者向けメールが来ているか
OpenCode ConsoleでOpenAI・Anthropic・Googleなどの外部プロバイダーを連携し、ワークスペースにAPIキーを保存していた人は、まずOpenCodeからの対象者向けメールが届いていないかを確認してください。
メールが届いている場合は、保存していたキーを「漏れた可能性があるもの」として扱い、次の順番で対応するのが安全です。
- 各プロバイダーで古いキーを無効化（削除・無効化）する
- 新しいキーを作り直し、使っているアプリや環境変数を置き換える
- 最近の使用量・請求に身に覚えのない利用がないか確認する
- 利用上限（支出上限）を設定して、高額請求を防ぐ
OpenAIのキーを無効化して作り直す手順
OpenAI公式の「Best Practices for API Key Safety」では、キーが漏れたと思われる場合はAPI Keysのページから直ちにローテーション（作り直し）するよう案内されています。
- OpenAI PlatformのAPI Keysページを開く
- 対象キーの横にある削除アイコンから古いキーを削除する（削除したキーは使えなくなります）
- 新しいキーを作成し、アプリやサーバー側の環境変数を新しい値に置き換える
- Usageページで、自分の作業と合わない使用量がないか確認する
作り直したあとは、古いキーがコードやリポジトリに残っていないかも確認してください。OpenAI公式は、キーをリポジトリにコミットしないこと、環境変数やキー管理サービスで保管することも推奨しています。
高額請求を防ぐ設定（OpenAI）
OpenAI公式では、組織やプロジェクトごとに月間の支出上限を設定し、ハード（強制）な上限を有効にすることで、漏れたキーによる想定外の費用を抑えられると説明されています。アラートだけではAPIの利用は止まらないため、上限の強制も合わせて確認してください。
Anthropicのキーを無効化して作り直す手順
Anthropic公式ドキュメントでは、Claude ConsoleのAPIキーのページで、キーをDisable（無効化）またはDelete（削除）できると説明されています。Disableは元に戻せますが、Deleteは永久的な操作です。
- Claude ConsoleのAPIキーのページを開く
- 漏れた可能性があるキーをDisableにするか、Deleteで削除する
- 新しいキーを作成し、利用場所の環境変数などを置き換える
- 新しいキーで正常に動くことを確認する
高額請求を防ぐ設定（Anthropic）
Anthropic公式ドキュメントでは、ワークスペースごとに月間の支出上限（Spend limits）を設定できるとされています。Claude ConsoleのWorkspacesページで対象ワークスペースを選び、Spend limitsから上限やアラートを設定します。組織全体の上限も別途適用されるため、両方を確認してください。
Google（Gemini API）のキーを無効化して作り直す手順
Google公式のGemini APIドキュメントにある「漏えい時の対応チェックリスト」では、次の順番が案内されています。
- Google AI StudioまたはGoogle Cloudコンソールで新しいキーを作る
- アプリを新しいキーに更新して、正常に動くことを確認する
- 古い（漏れた可能性がある）キーを無効化または削除する
- Google Cloudコンソールで請求ログとAPI使用量を確認し、不正な利用がないか調べる
新しいキーを先に動かしてから古いキーを止めると、アプリの停止時間を短くできます。キーには、Gemini APIだけに使うなどの制限を付けることも公式に案内されています。
高額請求を防ぐ設定（Google）
Google公式ドキュメントでは、AI Studioでプロジェクトごとに月間の支出上限（プロジェクトのSpend cap）を設定できるほか、Google Cloudで請求アラートを設定して使用量や費用の急増に気づく方法が案内されています。
今後のためにやっておきたいこと
- APIキーはチームメンバーごとに分け、共有しない（OpenAI公式の推奨）
- 有効期限付きのキーを作り、定期的に作り直す
- キー文字列をコードに直接書かず、環境変数やシークレット管理サービスに置く
- 使用量を定期的に確認し、支出上限とアラートを設定しておく
- ブラウザやモバイルアプリなど、利用者の手元で動く環境にキーを置かない
まとめ
今回の件でまず大事なのは、OpenCodeからの対象者向けメールが来ているかどうかです。メールが来ている人は、OpenAI・Anthropic・Googleそれぞれの公式手順でキーを無効化して作り直し、使用量の確認と利用上限の設定まで済ませてください。
調査は続いているため、新しい公式発表があれば内容が変わる可能性があります。続報はOpenCode公式の発表を確認してください。
関連記事：不正アクセスが相次ぐ今、小さな会社・個人サイトが確認すべきこと
出典
- OpenCode公式X投稿（2026年10月17日 UTC）：https://x.com/opencode/status/2111519637049319818
- OpenAI Help Center「Best Practices for API Key Safety」：https://help.openai.com/en/articles/5112595-best-practices-for-api-key-safety
- Anthropic（Claude）公式ドキュメント「Authentication」：https://platform.claude.com/docs/en/manage-claude/authentication
- Anthropic（Claude）公式ドキュメント「Workspaces」：https://platform.claude.com/docs/en/manage-claude/workspaces
- Google AI for Developers「Using Gemini API keys」：https://ai.google.dev/gemini-api/docs/api-key
- Google AI for Developers「Billing」（Gemini API）：https://ai.google.dev/gemini-api/docs/billing
コメント