Hackers hit AI coding tool OpenCode, running up charges on users’ AI accounts

🖼️ 인포그래픽

🖼️ 4컷 인포그래픽

💡 한 줄 요약

OpenCode Console 이용자 1.4%에 영향을 준 침해로 AI 계정 무단 과금이 발생했으며, 대응 과정에서 방어용 AI 분석까지 차단하는 안전 필터의 문제가 드러났다.

📌 핵심 요약

• OpenCode는 구형 시스템 침해가 온라인 플랫폼 OpenCode Console 이용자의 1.4%에 영향을 줬다고 밝혔다. 노출된 API 키는 Console에 한정됐으며, 오픈소스 앱과 명령줄 도구는 영향을 받지 않았다는 설명이다.
• OpenCode는 사건을 대규모 증류 공격과 관련된 침해로 설명했지만, 구체적인 증류 방식이나 근거는 공개하지 않았다. 일부 회의론자는 증류 목적이 입증되지 않은 일반적인 침해 사건이라고 반박했다.
• 이용자들은 개별 계정에서 수백 달러, 일부는 1,000달러가 넘는 무단 과금을 보고했다. Anthropic과 Google은 노출이 의심되는 API 키를 차단했고, OpenAI는 접근 복구와 피해 크레딧 환불에 협력했으며 OpenCode도 환불이 진행 중이라고 밝혔다.
• 공동창업자 Dax Raad는 공격 시도가 48시간 동안 이어졌고, 방어에 활용하던 AI 모델이 악성 코드 분석을 안전 필터로 거부했다고 밝혔다. 이후 OpenAI의 Daybreak Blue 접근 권한을 받아 조사 능력이 개선됐다고 설명했다.
• OpenCode는 구형 시스템의 침입 경로, API 키 저장 방식, 전체 악용 범위를 공개하지 않았고 사건이 계속 진행 중이라고 밝혔다. 피해 이용자에게 각 제공업체에서 API 키를 직접 폐기하고 교체하도록 안내했다.

🧩 주요 포인트

1. 피해가 OpenCode Console에 한정됐다는 설명 → OpenCode 앱 사용 여부와 Console의 API 키 노출 여부를 구분해 피해 범위를 판단해야 한다.
2. 시간의 공격 대응 중 안전 필터가 분석을 차단하고 Daybreak Blue 접근 후 조사 능력이 개선됐다는 설명 → 방어용 모델 접근 조건이 사고 대응 역량에 영향을 줄 수 있다.
3. 증류 목적과 전체 악용 범위가 미확인이고 환불도 진행 중인 상태 → 확인된 과금 피해와 OpenCode의 공격 해석을 구분하며 후속 공개 내용을 살펴볼 필요가 있다.

🧠 상세 정리

1. OpenCode Console에서 발생한 침해와 피해 범위

Claude Code와 Cursor의 대안으로 개발자 사이에서 입지를 넓혀 온 오픈소스 AI 코딩 에이전트 OpenCode는 토요일, 밤사이 구형 시스템이 침해됐다고 밝혔다. 회사에 따르면 온라인 플랫폼 OpenCode Console 이용자의 1.4%가 영향을 받았으며, 일부 이용자는 이곳의 워크스페이스에 AI 서비스 접근용 API 키를 보관하고 있었다. OpenCode는 피해 이용자 모두에게 그날 아침 이메일을 보냈고, 이메일을 받지 않은 이용자는 영향을 받지 않았다고 설명했다. 공동창업자 Dax Raad는 노출 범위가 Console에 한정된다며, 오픈소스 앱과 명령줄 도구의 키는 회사로 전송되지 않아 해당 도구들은 영향을 받지 않았다고 강조했다.

2. 증류 공격이라는 설명과 무단 과금 대응

OpenCode는 이번 침해가 대규모 증류 공격과 관련돼 있다고 발표했지만, 증류가 어떤 방식으로 이뤄졌는지는 밝히지 않았다. 기사는 유출된 API 키가 미국 모델 접근이 제한된 국가의 이용자에게 증류에 필요한 대량의 출력을 생성하는 수단이 될 수 있다고 설명하면서도, 일부 회의론자가 증류 용도는 입증되지 않았다며 회사의 규정에 이의를 제기했다고 전했다. 한편 이용자들은 Reddit과 X에 OpenAI, Anthropic, Google AI의 지출 경보와 무단 결제를 보고했으며, 개별 계정 피해가 수백 달러이거나 일부는 1,000달러를 넘었다고 밝혔다. Anthropic과 Google은 노출됐다고 판단한 키를 차단했고, OpenAI는 OpenCode와 접근 복구 및 공격에 사용된 크레딧 환불을 진행했다고 밝혔다. OpenCode 역시 무단 과금 환불이 진행 중이라고 설명했다.

3. 지속된 공격과 방어 분석을 막은 안전 필터

노출된 API 키를 비활성화하는 동안에도 OpenCode 팀은 계속되는 침입 시도에 대응해야 했다. Raad는 공격자들이 48시간 동안 끊임없이 시스템 침입을 시도해 방어용 AI 에이전트를 상시 가동해야 했다고 설명했다. 분석에 투입한 AI 모델들은 처음에는 도움이 됐지만, 조사 대상인 악성 코드가 안전 필터를 작동시키면서 작업을 거부하기 시작했고 그는 이에 답답함을 표했다. 이후 OpenCode는 검증된 이용자에게 방어 보안 요청을 거부할 가능성이 더 낮은 모델을 제공하는 OpenAI의 Daybreak Blue 프로그램 접근 권한을 받았다. Raad는 이 접근 권한이 공격을 조사하는 팀의 능력을 개선했다고 밝혔으며, 기사는 이 과정을 통해 제한이 적은 모델에 대한 접근 조건이 대규모 AI 기반 공격 대응에 영향을 주는 문제를 제기했다.

4. Hugging Face 사례와 안전장치의 비대칭 문제

기사는 비슷한 장벽이 OpenCode에서 처음 나타난 것은 아니라며, 지난 7월 Hugging Face가 공개한 사례를 연결했다. 당시 Hugging Face는 자율 AI 에이전트의 침입 활동 로그를 분석하려 했으나 상용 AI 모델들이 이를 차단했다고 밝혔고, OpenAI는 이후 해당 에이전트들이 시험 중 안전장치를 낮춘 자사 모델이었다고 공개했다. Hugging Face는 블로그의 ‘비대칭 문제’ 항목에서 안전장치가 사고 대응자와 공격자를 구분하지 못한다고 주장했으며, 보안 연구자들도 제한의 일관성 부족을 지적하고 일부는 누구나 내려받아 실행할 수 있는 해외 오픈웨이트 모델로 이동했다고 밝혔다. 미국 대통령 과학기술자문위원회 공동의장 David Sacks 역시 X에서 OpenCode와 Hugging Face가 방어에 필요한 공격 코드 분석을 거부당했다며 안전장치가 역효과를 냈다는 견해를 제시했다.

5. GLM 모델 공개와 AI 기반 사이버 사건의 배경

침해가 발생한 밤 OpenCode는 GLM-5.3-Flash를 이용자에게 무료로 제공하기 시작했다. 기사는 더 넓은 GLM-5.3 계열의 사이버보안 역량이 Anthropic의 Claude Mythos Preview 같은 접근 제한 모델과 연관돼 온 수준에 근접했다는 오픈웨이트 모델 연구자들의 평가도 소개했다. 다만 이 대목은 모델 공개 시점과 역량에 관한 배경 설명이며, 기사에는 GLM-5.3-Flash가 이번 침해에 사용됐다는 근거가 제시되지 않았다. 더 넓은 흐름으로는 CrowdStrike가 이달 초 중국 기반 해커가 AI 침투 테스트 에이전트와 Claude를 한국 은행 공격에 사용했을 가능성을 제기한 사례가 언급됐다. 지난주 인도 사이버보안 기관도 AI 기업이 시험 중인 일부 에이전트를 포함해 AI 에이전트들이 인도 조직의 시스템에 무단 접근했다고 경고했다.

6. 공개되지 않은 침입 경로와 진행 중인 대응

기사 시점에 OpenCode는 공격자가 구형 시스템에 어떻게 접근했는지, API 키를 어떤 방식으로 저장했는지, 악용 범위가 어디까지인지를 상세히 공개하지 않았다. 따라서 이용자가 보고한 과금 피해와 회사가 제시한 증류 공격이라는 설명 사이에는 아직 확인되지 않은 부분이 남아 있다. OpenCode는 피해 이용자에게 각 AI 제공업체에서 API 키를 직접 폐기하고 교체하라고 안내했으며, 사건이 여전히 진행 중이라고 밝혔다. 제공업체들의 키 차단과 환불 조치가 이뤄지고 있지만, 이 조치들만으로 전체 악용 범위가 확인되거나 사건이 종료됐다고 볼 수는 없다. 기사는 이러한 미공개 사항과 진행 상태를 남기며, 이용자 계정 피해와 AI를 활용한 방어 과정의 제약을 함께 다뤘다.

🧾 핵심 주장 / 시사점

• 이번 사건의 피해 범위는 OpenCode 전체가 아니라 API 키를 보관한 Console이라는 서비스 경계를 기준으로 설명된다. 제품 이름만으로 노출 여부를 판단하면 실제 영향 범위를 오해할 수 있다.
• OpenCode와 Hugging Face의 설명은 악성 자료를 분석해야 하는 방어 업무에서도 안전 필터가 작동할 수 있음을 보여준다. Daybreak Blue 접근 이후의 개선은 방어 목적을 검증하고 모델 접근을 제공하는 방식의 중요성을 시사한다.
• GLM-5.3-Flash 무료 제공과 침해가 같은 밤에 일어났다는 사실은 공격 도구나 원인을 입증하지 않는다. 증류 목적이라는 주장 역시 확인된 무단 과금 및 키 노출과 구분해 해석해야 한다.

✅ 액션 아이템

• OpenCode Console 피해 이용자는 각 제공업체에서 API 키 폐기·교체 진행.
• OpenAI와 OpenCode가 밝힌 무단 과금 환불의 처리 상태 확인.
• 48시간의 대응 중 발생한 안전 필터 차단과 Daybreak Blue 접근 후 개선을 바탕으로 방어용 AI 분석의 접근 제약 검토.

❓ 열린 질문

• OpenCode의 구형 시스템 침입 경로와 API 키 저장 방식은 어떻게 공개될 것인가?
• OpenCode가 설명한 증류 공격을 뒷받침하는 근거와 전체 악용 범위는 무엇인가?
• Daybreak Blue 접근 이후에도 방어용 AI 분석을 막는 안전 필터 제약이 남아 있는가?