OpenCodeのAPIキー流出、自分も交換が必要？影響確認から費用管理まで4ステップ
AIコーディングツールに貼り付けたAPIキー。その1本が、あなたの有料アカウントを利用するための鍵です。流出が疑われるとき、アプリを閉じたり、パスワードを変えたりするだけでは対応は終わりません。確認すべき場所は、キーを発行したサービスの管理画面です。
自分のキーも交換すべき？ OpenCodeから影響の通知を受けた場合は、以下の提供元別の失効・交換手順を確認してください。メールを受け取っていないユーザーは影響を受けていない、というのがOpenCodeの公式見解です。他のサービスでも使ったキーの点検は、今回の影響判定とは別の予防策です。
OpenCodeは、ターミナル、コードエディター、デスクトップでコード作成を支援するオープンソースのAIコーディングエージェントです。Claude・GPT・Geminiなど、複数の提供元のモデルを接続して利用できます。
OpenCodeのキー流出のニュースが気になったら、確認することは4つです。キーをどこに保存したか、疑わしいキーを無効化したか、身に覚えのない利用がないか、設定した支出上限で実際にリクエストが止まるか。OpenAI・Claude・Geminiの公式案内をもとに、今やるべきことを整理します。
1. OpenCodeのAPIキー流出：影響範囲の確認
最初の確認はシンプルです。OpenCode Consoleに、外部のAIサービスのAPIキーを接続しましたか？ アカウントの接続設定と、登録したメールアドレスの受信箱を確認してください。開発担当者が設定した場合は、どの提供元の、どのプロジェクトのキーを登録したかを尋ねましょう。キーの全文をチャットで送ってもらう必要はありません。
OpenCodeの公式発表によると、影響を受けたのは外部プロバイダーを接続した一部のユーザーで、Consoleユーザーの1.4%に当たり、対象者全員にメールを送信したとのことです。メールを受け取っていないユーザーには影響がない、というのがOpenCodeの公式見解です。
同じ発表では、インシデントは継続中で詳細は公開できず、Anthropic・OpenAI・Googleと復旧対応を進めていると説明しています。本記事は、2026年10月18日19:35 KST（日本時間も同日19:35）時点の発表を扱っています。その後に公式の追加案内が出ている場合は、あわせて確認してください。
発表の対象を「OpenCodeをインストールした全員」や「すべてのAPIキー」に広げて解釈することはできません。ローカルCLIを使ったかどうかだけで影響範囲を推測せず、公式案内と自分の接続履歴を照らし合わせましょう。
同じキーをほかのサービスでも使っていた場合に利用履歴を確認することは、AIBによる一般的な予防上の推奨です。 今回のOpenCodeの件で被害を受けたと判断するものではありません。今回の影響の確認と、日頃のキー管理の点検は分けて進めてください。
2. APIキーの失効・交換方法：OpenAI・Claude・Gemini
悪用が進行している場合は、費用を止めることとサービス停止のリスクを先に判断してください。 AIBは、続く悪用を止めるためにキーの失効を優先するよう推奨します。ただし、提供元の公式手順は同じではありません。Claudeは流出が疑われる場合の即時失効を、Googleは流出対応でも新しいキーの適用後に古いキーを削除する手順を案内しています。OpenCodeの接続画面から削除しただけで、発行済みのキー自体が無効になったとは判断できません。
- OpenAI：APIキーの管理画面で疑わしいキーを交換し、使用量を確認します
- Claude：ConsoleのAPI Keysで該当のキーを探して削除します。公式ドキュメントは、流出が疑われる場合の即時失効を案内しています
- Gemini：公式の手順は、新しいキーを作成し、アプリへの適用と動作確認を行ってから、古いキーを無効化・削除する順序です。対象プロジェクトのキーはCloud Consoleで管理します
新しいキーを作成しても、古いキーは自動では消えません。 業務アプリ、サーバーのシークレット設定、自動化ツールのどこで古いキーを使っているかも確認しましょう。すでに悪用が疑われるキーを、サービス停止が心配だからという理由だけで有効なままにしないでください。
Googleが案内する順序は、交換に伴うサービス停止を減らすためのものです。悪用が進行している場合は、増え続ける費用とサービス停止のリスクを担当者があわせて判断し、遮断を優先してください。交換の確認は、管理画面のチャットが動くかではなく、新しいキーを使う実際のアプリが動作するかで行います。
交換後にエラーが出ても、むやみに上限を引き上げないでください。認証エラーなのか、使用量制限なのか、残高の問題なのか、まずエラーの内容を切り分けましょう。
3. 不審な使用量・課金の確認
提供元のUsage（使用量）・Cost（費用）・Billing（請求）画面で、普段と違う時間帯の利用や使用量の変化を確認します。接続したプロジェクトやワークスペースに範囲を絞ると、通常業務と比較しやすくなります。
見るポイントは3つです。自分が実行していない時間のリクエスト、使っていないモデルの使用量、普段とは違う費用の増加。不審な点があれば、該当する期間とタイムゾーン、プロジェクト名、金額、確認できるリクエストIDを記録し、公式サポート窓口に問い合わせてください。APIキーの全文を、問い合わせや公開投稿に貼り付けないでください。
金額が増えたという事実だけで、不正利用だと断定はできません。予約実行された処理や、チームメンバーの正当な利用とも照合が必要です。また、交換直後にダッシュボードで費用が増えたからといって、新しいキーまで流出したと即断しないでください。課金の集計には遅れがあります。リクエストが発生した時刻と、画面に反映された時刻を区別すると、より正確に対応できます。
大切なのは、「心配だ」で終わらせないことです。いつ、どのプロジェクトで、どの利用に身に覚えがないのか。 これを整理すれば、運用担当者や提供元が調査するための資料になります。なお、本記事は返金や被害補償を保証するものではありません。
4. API支出上限の設定：通知と実際の遮断
「月間予算を設定した」だけでは十分ではありません。通知するだけの設定と、リクエストを遮断する設定を区別してください。管理する単位も提供元によって異なります。
OpenAIでは、組織またはプロジェクトに月間支出上限を設定し、Enforce a hard limit（支出上限を強制）を有効にすると、上限到達時に対象のリクエストを遮断できます。支出通知だけを設定した場合、リクエストは続きます。実際の遮断には反映の遅れがあるため、設定額を多少超える場合があります。
Claudeでは、ワークスペースのLimitsで支出上限とメール通知を区別します。ワークスペースの上限は組織の上限より低く設定し、個別の上限を設定していない場合は組織の上限が適用されます。試験用ツールと本番サービスの利用を分けて管理する際に、確認したいポイントです。
Geminiのキーはプロジェクトに属しており、キーごとに独立した請求設定がある仕組みではありません。AI Studioのプロジェクト支出上限は試験的な機能です。約10分の集計遅延や長時間の処理により上限を超える費用が発生することがあり、請求書払いのアカウントではこの支出上限は利用できません。
新しいツールを試すときは、既存サービスと同じキーを何気なく使い回さないようにしましょう。用途別にキーとプロジェクト・ワークスペースを分け、担当者が確認する通知と、業務に合った上限を組み合わせて設定します。上限を低くしすぎると、正常なサービスも止まります。費用の管理とサービスの運用は、セットで設計する必要があります。
新しいAIサービスを選ぶ際も、機能紹介だけで判断しないでください。キーはどこに保存されるのか、どんな権限を求めるのか、接続解除とキーの失効はどう行うのか、費用はどこで制限するのか。 説明が曖昧なサービスに既存の本番用キーをすぐに預けず、まずは独立したテスト用の利用範囲を決めましょう。
今、開くべきなのはAPIの管理画面
今日やるべきことは、セキュリティ用語を勉強することではありません。接続したキーの発行元を開き、接続履歴 → 疑わしいキーの無効化・交換 → 利用履歴 → 実際の支出上限の順に確認してください。
チームで使うAIツールが増えているなら、まず「誰が、どの業務で、どのキーを使っているか」を1枚に整理しましょう。AIBは、AIの比較と業務への導入を支援しています。ツール選びから利用範囲、運用方法まで整理したい方は、AIBに現在の業務についてお聞かせください。
出典
情報の基準日：2026年10月18日。OpenCodeのインシデントに関する内容は、同日19:35 KST（日本時間も同日19:35）時点の公式発表に基づきます。