OpenCode Consoleの漏えいで考えたこと
読んでまず思ったのは、「鍵は“見せない仕組み”に預けても、結局はどこかで守る責任が残るんだな」ということでした。OpenCode Console は、ユーザーが OpenAI や Anthropic、Google の API key を預けておき、チーム内で直接キーを見せずに使えるのが売りだったわけですが、その“預け先”がやられると話は一気に変わります。便利さと引き換えに、守るべき面がひとつ増える。これは分かりやすいのに、実際には軽く見られがちな落とし穴だと思います。 特に引っかかったのは、`delete` しただけではダメで、provider 側で `revoke` しないと止まらない点です。ここは地味ですがかなり重要で、API key が bearer credential だという性質がそのまま効いてくる。つまり、誰かがコピーを持ってしまえば、その人が正規の持ち主みたいに課金付きのリクエストを飛ばせてしまう。セキュリティ事故の話で「漏れたかもしれない」で終わらず、「その後にどう止血するか」が本体なんだと改めて感じました。 もうひとつ、この記事で少し気になったのは、OpenCode
papoo.work