AIの利用料が勝手に数百ドル請求、AIツール「OpenCode」に預けた鍵が盗まれ 調べるAIは協力を拒否

プログラミング用のAIツール「OpenCode」は現地時間10月17日、Web版のサービス「OpenCode Console」に侵入され、利用者の1.4%が預けていたAIサービスの鍵（APIキー。AIの利用料が請求される合い言葉のようなもの）が悪用されたと公表しました。盗まれた鍵でOpenAI・Anthropic・GoogleのAIが勝手に使われ、1人あたり数百ドル、中には1,000ドルを超える請求が来た人もいるとTechCrunchが報じています。

何が起きたか

OpenCodeは、OpenAI・Anthropic・Googleなど各社のAIを選んでプログラミングの作業をさせられる無料公開のツールです。利用者は自分で契約したAIサービスの鍵をツールに登録して使います。今回侵入されたのは、ツール本体ではなく、Web上で鍵などを保存できる古いほうのサービスでした。

OpenCodeは公式Xで、前夜にセキュリティの侵害があり、Consoleの利用者の1.4%が影響を受けたと説明しました。対象者には当日の朝にメールで知らせ、メールが届いていない人は影響を受けていないとしています。共同創業者のダックス・ラード氏は、手元のパソコンで動くツール本体の利用者は鍵をOpenCodeに送っていないため対象外だと補足しました。

OpenCodeは今回の攻撃を「大規模な蒸留攻撃」に関係すると説明しています。蒸留とは、他社のAIに大量の質問をして答えを集め、それを使って自分のAIを鍛えるやり方です。他人の鍵を使えば、その費用を鍵の持ち主に払わせることができます。ただしTechCrunchは、蒸留が目的だったという説明には裏付けがなく、懐疑的な見方もあると伝えています。

被害に気づいた人と、AI各社の対応

最初に気づいた利用者の1人、クリス・シンコ氏は、寝る前にOpenAI・Anthropic・Googleの3社から利用額の警告が一斉に届いたとXに投稿し、OpenCodeで鍵を使ったことがある人は鍵を止めるよう呼びかけました。

AI各社は、それぞれの開発者向けの担当者がXで対応を伝えています。

OpenCodeのラード氏も、対象者への連絡は済み、返金の手続きが進んでいるとXで答えています。TechCrunchによると、攻撃者は48時間にわたって休みなく侵入を試み続けていたとラード氏は話しています。どうやって侵入されたのか、鍵がどう保存されていたのかは、まだ明らかにされていません。

守る側のAIが「協力を拒否」

もう1つ注目を集めたのは、調査の途中でAIが手を貸さなくなったことです。OpenCodeは攻撃の分析にAIを使っていましたが、攻撃に使われた不正なプログラムを読ませると、AIの安全のための制限に引っかかり、分析を断るようになったといいます。

ラード氏は、AIは途中まではかなり働いたが、その後は断るようになり、対応の最中にもどかしかったと投稿しました。その後、OpenAIが守る側の調査に限って制限をゆるめたAIを使わせる「Daybreak Blue」という枠を使えるようになり、調査が進めやすくなったとしています。OpenAIの担当者も、この枠の申し込みを呼びかけています。

米大統領の科学技術諮問会議の共同議長を務めるデビッド・サックス氏は、この件を取り上げ、AIの安全対策を一部の会社の判断に集める今のやり方では、守る側まで止められてしまうと投稿しました。一方で、攻撃の分析を誰にでも許せば、それを攻撃にも使えてしまうという悩みは残ります。

日本のビジネスへの影響

• 関係あるか: 日本でもOpenCodeを使う開発者はいますが、影響を受けたのはWeb版に鍵を保存していた一部の利用者だけで、メールが届いていなければ対象外です。ただ、AIの鍵をさまざまなツールに登録して使う働き方は日本の職場でも広がっており、同じことはどのツールでも起こりえます
• 誰に効くか: 社内でAIサービスの契約と支払いをまとめている情報システム部門と、社員が自分でAIツールを試すのを認めている部署の責任者です。鍵が盗まれると、請求は会社のクレジットカードや契約に来ます
• 今すぐやれること: OpenAI・Anthropic・Googleの管理画面で、使っていない鍵を消し、利用額の上限と警告の設定を確かめることです。今回、被害に早く気づいた人は利用額の警告が届いていました。外部のツールに鍵を登録するときは、ツールごとに別の鍵を作っておけば、1つが漏れても止めるのは1本で済みます。プログラミング用のAIツール選びは用途別ガイドのコーディングAIにまとめています
• 注意点: AI各社が今回は返金に応じましたが、いつも返金されるとは限りません。また、AIが攻撃に使われる例は増えており、守る側がAIで調べようとしても断られる場面がありうることは、社内の事故対応の手順にも織り込んでおく必要があります（100字足らずの指示でAIが通販サイトに次々侵入）