OpenCode는 최근 온라인 플랫폼 OpenCode Console에서 보안 취약점이 발생해 약 1.4%의 사용자가 영향을 받았으며, 일부 사용자가 저장한 AI 서비스 API 키가 유출되었을 가능성이 있고, 무단 API 호출 및 고액 요금이 발생했다고 밝혔다. 이 회사는 영향을 받은 사용자에게 이메일로 통지했으며, 사건은 여전히 조사·처리 중이라고 밝혔다.
OpenCode는 이번 사건이 대규모 데이터 증류 공격과 관련이 있다고 밝혔지만, 구체적인 공격 방식은 아직 공개되지 않았으며 관련 주장은 일부 연구자들의 의문을 받고 있다. 사건 발생 후 Anthropic과 Google은 유출된 것으로 판단되는 API 키를 차단했으며, OpenAI는 OpenCode와 협력해 접근 권한을 복구하고 영향을 받은 API 고객에게 관련 크레딧을 환불했다. 일부 사용자는 계정에 수백 달러, 심지어 1000달러를 넘는 무단 요금이 발생했다고 보고했으며, OpenCode는 환불을 진행 중이라고 밝혔다.
OpenCode 공동창업자 Dax Raad는 영향 범위가 Console 플랫폼에 국한되며, 오픈소스 애플리케이션과 명령줄 도구는 영향을 받지 않았다고 강조했다. 그는 또한 공격자가 48시간 연속으로 시스템 침입을 시도했으며, 팀이 AI 방어 에이전트를 활용해 긴급 조사를 진행했지만 일부 모델은 악성 코드가 보안 필터링 메커니즘을 트리거하여 분석을 중단했다고 밝혔다. 이후 OpenCode는 방어적 보안 작업의 처리 능력을 높이기 위해 OpenAI Daybreak Blue 프로젝트의 접근 권한을 획득했다.
이번 사건은 AI 안전 가드레일에 대한 논의를 다시 촉발했다. 올해 7월 Hugging Face도 상용 AI 모델의 안전 제한이 자율 AI 에이전트 침입 로그 분석을 가로막았다고 밝힌 바 있다.
한편, OpenCode의 이번 사건은 GLM-5.3-Flash 모델을 무료로 공개하는 시점에 발생했다. AI 에이전트의 사이버 공격과 방어에서의 활용이 확대되는 가운데, 악성 행위를 제한하는 것과 합법적인 보안 연구를 지원하는 것 사이에서 균형을 어떻게 맞출지가 업계가 직면한 중요한 과제로 떠오르고 있다.