2026년 10월 17일, 선택적 호스팅 서비스인 OpenCode Console이 침해되어 사용자 저장 제3자 제공업체 자격 증명이 노출되었다는 소식이 전해졌습니다. 이 사건은 많은 사용자들이 공유된 명칭 때문에 초기에는 침해를 로컬 OpenCode CLI로 오인하여 광범위한 혼란을 야기했습니다. 이번 침해는 Console 작업 공간에 저장된 제공업체 키(예: OpenAI, Anthropic)에 구체적으로 영향을 미쳤으며, CLI에 의해 로컬에 저장된 키에는 영향을 미치지 않았습니다. 영향을 받은 사용자들은 해당 키를 취소하고 교체하며 사용 내역을 검토하도록 권고받았습니다.공급업체의 성명은 "레거시 시스템"에 대한 무단 접근을 확인했으며 사용자들에게 침해된 키를 취소할 것을 촉구했습니다. OpenAI 고객의 이메일은 이 사건을 뒷받침하며, 영향을 받은 키가 이미 비활성화되었다고 언급했습니다. 초기 발표에서 어떤 특정 제품이 침해되었는지에 대한 명확성이 부족하여 상당한 불만이 야기되었습니다.로컬 코딩 에이전트 사용자의 경우, 자격 증명은 해당 사용자의 기기에 저장되며 요청은 구성에 따라 라우팅됩니다. 이는 구성이 로컬 게이트웨이(예: 127.0.0.1:8787)를 가리키는 경우, 해당 사용자의 키는 호스팅된 Console 서비스를 통해 노출되지 않았음을 의미합니다. 그러나 구성이 공급업체의 호스팅된 게이트웨이를 가리키는 경우, 키 취소가 필요했습니다.작성자는 엔드포인트 인증 확인, 디스크 상의 자격 증명 개수 세기, 중복 키 스캔, 구성 저장소에 커밋된 키 확인 등 네 가지 검사를 수행했습니다. 로컬 라우팅을 식별하는 엔드포인트 확인을 통해 작성자의 키가 Console 침해로 직접적인 영향을 받지 않았음을 확인했습니다. 그러나 평문 키의 로컬 저장은 여전히 보안 위험을 내포하고 있습니다.작성자는 또한 폐기된 키가 백업 파일에 남아 있을 수 있으며, 구성 파일의 공개 저장소는 자격 증명이 실수로 커밋될 경우 위험을 초래한다고 언급했습니다. 호스팅된 키 서비스를 사용하는 모든 사람에게 작성자는 다섯 가지 단계를 권장합니다. 사용 중인 제품 식별, 제공업체에서 침해된 키 취소, 사용량 그래프 검토, 중복 키 복사본 스캔, 그리고 이상적으로는 에이전트가 키를 직접 보유하지 않는 설정 사용입니다. 핵심은 침해의 파급 효과를 최소화하기 위해 자격 증명을 에이전트의 직접적인 접근 범위에서 제거하는 것입니다.