2026年10月17日、オプションのホスト型サービスであるOpenCode Consoleが侵害され、ユーザーが保存していたサードパーティプロバイダーの認証情報が漏洩したというニュースが報じられました。このインシデントは、多くのユーザーが当初、共有された名称のために侵害をローカルのOpenCode CLIと混同したため、広範な混乱を引き起こしました。この侵害は、CLIによってローカルに保存されたキーではなく、Consoleワークスペースに保存されていたプロバイダーキー（例：OpenAI、Anthropic）に特に関連していました。影響を受けたユーザーは、これらのキーを失効させて置き換え、使用状況を確認するように助言されました。ベンダーの声明は、「レガシーシステム」への不正アクセスを確認し、侵害されたキーを失効させるようユーザーに促しました。OpenAIの顧客からのメールは、インシデントを裏付け、影響を受けたキーがすでに無効化されていたことを指摘しました。どの特定の製品が侵害されたかについての初期発表の不明瞭さが、大きな不満を引き起こしました。ローカルコーディングエージェントのユーザーの場合、認証情報はマシンに保存され、リクエストは構成に基づいてルーティングされます。これは、構成がローカルゲートウェイ（例：127.0.0.1:8787）を指していた場合、キーはホスト型Consoleサービスを通じて漏洩しなかったことを意味します。しかし、構成がベンダーのホスト型ゲートウェイを指していた場合、キーの失効が必要でした。著者は4つのチェックを実行しました。エンドポイント認証の検証、ディスク上の認証情報のカウント、重複キーのスキャン、および構成リポジトリにコミットされたキーのチェックです。ローカルルーティングを特定したエンドポイントチェックは、著者のキーがConsole侵害によって直接影響を受けなかったことを確認しました。しかし、プレーンテキストキーのローカルストレージは依然としてセキュリティリスクをもたらします。著者はまた、廃止されたキーがバックアップファイルに残っている可能性があり、構成ファイル用の公開リポジトリは、認証情報が誤ってコミットされた場合にリスクをもたらす可能性があると指摘しました。ホスト型キーサービスを使用している人は誰でも、著者は5つのステップを推奨しています。使用した製品を特定し、プロバイダーで侵害されたキーを失効させ、使用状況グラフを確認し、重複キーのコピーをスキャンし、理想的にはエージェントがキーを直接保持しないセットアップを使用することです。最も重要な教訓は、侵害の被害範囲を最小限に抑えるために、エージェントの直接の範囲から認証情報を削除することです。