AIコーディングのAPIキーが狙われている OpenCodeのキー流出とインフォスティーラー「Aoki」から学ぶ対策：Deep Insider Brief ― 技術の“今”にひと言コメント
AIコーディングツールの認証情報を盗むマルウェアと、保存されたAPIキーが流出した可能性のあるサービスの侵害が、同じ週に公表された。盗まれたキーで何が起きるのか、手元のキーをどう守るかを整理する。
AIコーディングツールのAPIキー（サービスを呼び出すための認証用の文字列）が盗まれたら、何が起きるか。心配すべきなのは、コードの流出だけではない。第三者があなたのアカウントでAIを使い、その利用料金をあなたが負担することになる。
この1週間で、AIの認証情報が狙われる動きが2つの形で明らかになった。10月15日、セキュリティ企業Symantec（Broadcom）が、情報窃取マルウェア「Aoki」の新しい版に、Claude、OpenAIのCodex、Cursor、Geminiなどの認証情報を盗む機能が加わったと公表した。10月17日には、オープンソースのAIコーディングエージェント「OpenCode」の運営元が、クラウド側のワークスペースに保存されていた外部AIサービスのAPIキーが流出した可能性があると公表した。利用者からは、身に覚えのない課金の報告も出ている。
Aokiは、もともとブラウザのCookieや暗号資産のウォレット、パスワード管理ツールの情報を盗むマルウェアだった。2026年に初めて確認された比較的新しいもので、初期の検体にはAI関連のファイルを狙う機能はなかった。最近の版で、AIコーディングツールが保存している認証情報や、ログイン状態を維持するためのセッションファイルが標的に加わった。
OpenCodeの件では、クラウド側に保存されたキーが問題になった。OpenCode Consoleは、外部AIサービスのAPIキーをワークスペースに登録し、サーバ側で各社のAPIへの要求を中継できるサービスだ。運営元の説明によると、廃止作業中だった旧システムに不正アクセスがあり、保存されていたキーが流出した可能性がある。影響はConsole利用者の1.4％とされている。
手元のPCと、クラウドのサービス。認証情報が狙われた場所は違うが、盗まれた後の問題は共通する。キーを第三者に転売されるだけでなく、攻撃者自身に使われ、利用料金を負担させられる恐れがある。攻撃者にとっては、自分で払うはずのAIの利用料金を、被害者に肩代わりさせられるわけだ。
――ここからは『Deep Insider Brief』恒例の“ひと言コメント”として筆者の考えを述べた上で、2つの事件の中身と、盗まれたキーで何ができるのか、手元のキーをどう守るかを整理していく。
Deep Insider編集長の一色です。こんにちは。
OpenCodeの件は、公式発表の前に、Xで「キーが漏れてトークンを使われた」という投稿を見かけて、はてなブックマークしていました。最近は情報漏えいの話が相次いでいて、.envファイルなどに保存しているAPIキーが漏れたとき、何が起きるのかが以前より気になるようになっています。
AIコーディングのサブスクリプション（月額制の契約）では、契約に含まれる利用枠だけを使い、追加課金を有効にしていなければ、利用枠を使い切ったところで止まるという安心感はあります。それでも、その間に自分がAIコーディングを使えなくなるのは困ります。そして私はサブスクリプション以外にも、複数のAIサービスのAPIキーを使っています。ほとんどはクレジットを事前に購入する方式で、残高が一定額を下回ると自動で再購入する設定になっているものもあります。この状態でキーが漏れると、気付くまでに再購入が繰り返され、被害額が膨らむのが心配です。
もちろん、PCそのものが乗っ取られれば、保存場所を工夫するだけでは防ぎきれません。盗んだ認証情報でAIを不正利用し、さらに別の攻撃に使う。そんな形で被害がねずみ算式に広がっていく将来を想像してしまいます。
そうなると、AnthropicやOpenAI、GoogleはAPIキーや認証用トークンの扱いをより厳しくしていくかもしれません。私の環境では、Claude Desktopを使っていると定期的に再ログインを求められます。使いやすさとセキュリティはどうしてもトレードオフになりますが、今回のような事件が続いて、使いやすさの側が削られていかないかが心配です。
それでは、2つの事件の中身を順に見ていく。
Aoki：手元のPCから、AIのキーを持っていく
Aokiは、感染したPCから認証情報などを集めて外部に送信する情報窃取マルウェア（インフォスティーラー）である。SymantecのThreat Hunter Teamは10月15日、最近の検体にAIコーディングツールの認証情報を盗む機能が加わっていると公表した。
名前は、復号処理で使われる文字列「Aokigahara」から取られた。富士山麓の青木ヶ原と同じつづりだが、開発者の出自を示すかどうかは分からないとSymantecは書いている。
最新の検体が狙うAI関連のファイルや認証情報は次の通りだ。
- Claude： .claude.jsonファイルと、Claudeデスクトップ版のCookie
- OpenAI： ChatGPTのCookie、Codexのconfig.tomlファイルと.envファイル
- その他のツール： GitHub Copilot、Cursor、Google Gemini、JetBrains AI Assistant、Kiroのトークン（AIの利用量を数える単位ではなく、ログイン状態やアクセス権限を示す認証情報のこと）。別の検体ではCodeiumも
- クラウド： AWSの認証情報
主な収集対象は認証情報とセッションファイルで、ソースコードそのものではない。ただし、Cursorのローカルの状態データベースには、チャットの文脈やコード片がキャッシュされている場合がある。そのため、コードに関する情報が一切盗まれないという意味ではない。
AI以外の標的は従来のインフォスティーラーと同じで、数十種類のブラウザ、暗号資産のウォレットと拡張機能、パスワード管理ツール、DiscordやTelegramのセッション、VPNやFTPクライアントに及ぶ。つまりAIの認証情報も、カード情報や暗号資産と同じように、攻撃者が利益を得るための標的に加わった。
この報告は、AIコーディングツールの脆弱（ぜいじゃく）性を突いた攻撃を示したものではない。マルウェアがPC上で動作し、保存済みのファイルなどを収集するという話だ。一方、公表レポートでは、被害者数や攻撃者グループ、盗まれたAIの認証情報が実際にどう悪用されたかは明らかにされていない。
OpenCode：クラウドに預けたキーが、流出した可能性
OpenCodeはターミナルで動くオープンソースのAIコーディングエージェントで、ツール自体は無料だ。AIサービスへの接続方法は複数あり、OpenCode Consoleの利用は必須ではない。今回問題になったのは、Consoleのワークスペースに登録された外部AIサービスのAPIキーである。
運営元の発表と対象者への通知として伝えられている経緯は、次の通りだ。
- 10月16日夜から17日にかけて、廃止作業中だった旧システムに不正アクセスがあった
- 10月17日朝（米国時間）、対象者にメールで通知。ワークスペースに保存された外部AIサービスのAPIキーが流出した可能性があるとして、各社の管理画面でキーを失効・再発行し、利用履歴を確認するよう求めた
- 10月17日（UTC）、公式Xアカウントで公表。影響はConsole利用者の1.4％と説明し、Anthropic、OpenAI、Googleと協力して対処しているとした
OpenCodeは、この侵害が「大規模な蒸留攻撃」に関連するものだと説明している。蒸留とは、あるモデルの出力を使って別のモデルを訓練する手法だ。手法そのものが不正というわけではないが、他社のサービスから許可なく大量の出力を取得し、モデルの能力を再現しようとする行為が問題になっている。Anthropicも、こうした蒸留攻撃への対策を公表している。
盗まれたキーが使われれば、攻撃者の要求も正規の利用者のアカウントにひも付く。ただし、今回のキーが実際に何に使われたのか、個々の課金報告が蒸留攻撃と結び付くのかは、分けて確認する必要がある。
利用者からは、OpenCode専用にしていたキーに身に覚えのない課金があった、数百ドル使われた、といった報告が出ている。これらは被害を訴える利用者の報告であり、運営元が公表した影響範囲や調査結果とは区別して読む必要がある。
盗まれたキーで、何ができるのか
APIキーや認証用トークンが盗まれた場合の問題は、大きく分けて次の3つだ。
- 利用料金を負担させられる： 攻撃者が被害者のアカウントでAIを使い、被害者の利用枠やクレジットを消費する。従量課金なら、その分の料金も被害者側に発生する。こうしたAIサービスの不正利用は、LLMjacking（LLMジャッキング）と呼ばれることがある
- 認証情報を転売される： 攻撃者自身が使わなくても、キーやトークンを第三者に売り渡すことで利益を得られる
- 被害が他のサービスにも及ぶ： 盗まれた認証情報の種類や権限によっては、接続先のリポジトリ、クラウドサービス、CI／CD（ビルドやデプロイを自動化する仕組み）にもアクセスされる恐れがある
ただし、AIサービスのAPIキーが1つ漏れれば、開発環境全体に必ず侵入されるという意味ではない。利用できる機能やアクセス先は、その認証情報に与えられた権限によって異なる。
手元のキーは、どこにあるか
CLI（コマンドライン）で動くAIコーディングツールは、繰り返しログインせずに使えるよう、認証情報を手元に保存することがある。保存先は、OSやログイン方法、設定によって異なる。主なものを挙げる。
- Claude Code： ログイン情報はmacOSでは通常キーチェーン、Linuxでは~/.claude/.credentials.jsonファイル、Windowsでは%USERPROFILE%\.claude\.credentials.jsonファイルに保存される。保存先を変更している場合や、macOSでキーチェーンへの保存に失敗した場合などは例外がある。.claude.jsonファイルにもMCPサーバ（外部ツールとの接続）の設定が入り、設定内容によっては接続先の認証情報を含む
- Codex： ログイン情報は、設定に応じて~/.codex/auth.jsonファイル、またはOSの認証情報ストアに保存される。config.tomlファイルは設定用で、認証情報の保存先とは役割が異なる。独自の接続設定や、別途用意した.envファイルなどにキーを保存している場合は、そちらも確認する
- Cursor： ローカルの状態データベースなど。保存内容によっては、認証情報に加えてチャットの文脈やコード片も含まれる
- その他： 各ツール固有の保存先や、AWSなどクラウドサービスの認証情報ファイル。ホームディレクトリ以外に保存している場合もある
ただし、ここに挙げた保存先の全てを、Aokiが狙うと確認されているわけではない。今回の報告で標的とされたファイルだけでなく、自分の環境ではどこに認証情報が保存されているかも確認しておきたい。
今できること
- 支出の設定を確認する： 各社の管理画面で、一定額に達したときに利用を止める設定と、通知するだけの設定を区別する。利用停止までに反映の遅れがある場合もある。クレジットの自動再購入を有効にしている場合は、再購入の上限や停止方法も確認する
- 1用途1キーにする： サービスに預けるキーと、手元で使うキーを分ける。どのキーが使われたかを追いやすくなり、問題が起きた用途のキーを個別に失効させられる
- 使っていないキーを失効させる： 試したまま使わなくなったキーも、失効させなければ不正利用される恐れが残る
- 利用履歴を定期的に見る： 身に覚えのない使用量や課金がないか確認する。異常があれば、対象のキーを速やかに失効させ、サービス提供元に連絡する
- 保存場所を棚卸しする： .claude.jsonファイルや.envファイル、各ツールの認証情報ファイルなどに、どのキーやトークンを保存しているか確認する。確認のために秘密情報をチャットや共有資料へ貼り付けない
- 感染経路を避ける： インフォスティーラーの典型的な入り口には、偽のインストーラー、海賊版ソフトウェア、不審なブラウザ拡張などがある。ソフトウェアや拡張機能は、配布元を確認して導入する
確認されていることと、まだ分かっていないこと
- Aokiの報告で示されたのは、AIの認証情報を盗む機能が追加されたこと。個々のキーが実際に不正利用されたかどうかは、公表レポートからは分からない
- OpenCodeの件では、運営元の説明と、利用者による身に覚えのない課金の報告がある。被害報告があることと、個々の被害額や用途まで調査で確定していることは、分けて考える必要がある
- AokiによるPC上の情報窃取と、OpenCodeのクラウド側への不正アクセスは、異なる問題である。OpenCodeの侵入原因まで、AIコーディングツールの脆弱性とは無関係だと断定することはできない
- Symantecのレポートは同社の検体解析に基づくもので、自社製品の検出名も掲載している。攻撃の機能を示す資料であり、被害全体の規模を示す統計ではない
まとめ：キーは「使われる」ことで価値になった
2つの事件が同じ週に並んだことで、見えてきたことは3つある。
- コードに加えて、AIの利用権も狙われる： 認証情報を盗めば、第三者のアカウントでAIを使える
- 手元とクラウドの、両方に管理が必要だ： PCに置いた認証情報も、サービスに預けたキーも、保管先に応じた対策が要る
- 盗まれた後の影響も把握しておく： どこまで使われ、何にアクセスされるかは、契約や設定、認証情報の権限によって異なる
AIコーディングが日常の道具になったぶん、APIキーは開発者の財布に直結する資産になった。どこに何を保存し、どんな権限を与えているかを把握する。そして、異常があったときに失効できるようにしておく。それが今週の2つの事件から引き出せる、最も実務的な教訓だろう。
情報元
Copyright© Digital Advantage Corp. All Rights Reserved.