OpenCode API key รั่ว คือเหตุที่เครื่องมือเขียนโค้ด AI ชื่อ OpenCode แจ้งเมื่อ 19 ตุลาคม 2569 (ค.ศ. 2026) ว่าผู้ใช้ OpenCode Console ราว 1.4% ถูกขโมย API key ของ OpenAI Anthropic และ Google จนบางรายถูกเก็บเงินเกิน 1,000 ดอลลาร์ บทความนี้เหมาะกับทีม dev, software house และฝ่ายไอทีไทย อ่านแล้วจะรู้ว่าต้องทำอะไรก่อนหลัง
ลองนึกภาพ software house 15 คนในเชียงใหม่ (ตัวอย่างสมมติ) ที่ใส่ API key ของลูกค้าไว้ในเครื่องมือเขียนโค้ดเพื่อทดสอบงาน เช้าวันหนึ่งบิลค่า AI ของลูกค้ากระโดดหลายหมื่นบาท และโปรเจกต์บน Google Cloud ถูกระงับ คำถามแรกของลูกค้าจะไม่ใช่เรื่องเงิน แต่คือ “ข้อมูลของเรารั่วไหม”
สรุปสั้น: OpenCode แจ้งเมื่อ 19 ตุลาคม 2569 ว่า API key ของผู้ใช้ OpenCode Console ราว 1.4% อาจหลุดตั้งแต่ 17 ตุลาคม 2569 บางบัญชีถูกเก็บเงินเกิน 1,000 ดอลลาร์ และเหตุยังไม่จบ ทีม dev ไทยควรหมุน key ตั้งเพดานค่าใช้จ่าย และประเมินว่าต้องแจ้ง สคส. ตาม PDPA หรือไม่ ถ้า key เข้าถึงระบบที่มีข้อมูลส่วนบุคคลได้
OpenCode API key รั่ว คืออะไร เกิดอะไรขึ้น
OpenCode API key รั่ว หมายถึงเหตุที่ API key ซึ่งผู้ใช้ OpenCode Console บันทึกไว้ถูกคนนอกนำไปใช้ ตามรายงานของ TechCrunch และ StepSecurity บริษัทเรียกเหตุนี้ว่า “large-scale distillation attack” และระบุว่า key อาจหลุดตั้งแต่ 17 ตุลาคม 2569 เวลา 00:30 UTC
ผู้ได้รับผลกระทบถูกเก็บเงินโดยไม่ได้อนุญาตหลักร้อยดอลลาร์ต่อบัญชี บางรายเกิน 1,000 ดอลลาร์ และบาง Google Cloud project ถูกระงับ Anthropic และ Google บล็อก key ที่หลุดแล้ว ส่วน OpenAI คืนเครดิตให้ แอปแบบ open-source และ CLI ไม่ได้รับผลกระทบ
| ประเด็น | ข้อเท็จจริงตามรายงาน |
|---|---|
| วันที่แจ้ง | 19 ตุลาคม 2569 |
| ช่วงที่ key อาจหลุด | ตั้งแต่ 17 ต.ค. 2569 เวลา 00:30 UTC |
| ผู้ได้รับผลกระทบ | ผู้ใช้ OpenCode Console ราว 1.4% |
| ความเสียหาย | ถูกเก็บเงินหลักร้อยดอลลาร์ต่อบัญชี บางรายเกิน 1,000 ดอลลาร์ |
| สถานะ | ยังไม่เปิดเผยช่องทางเจาะ เหตุยังไม่จบ |
ประเด็นที่ควรจำคือ เหตุนี้เกิดกับบริการ Console ที่เก็บ key ไว้ให้ ไม่ใช่กับตัวโปรแกรมที่ติดตั้งในเครื่อง ความเสี่ยงจึงอยู่ที่การฝาก key ไว้กับผู้ให้บริการภายนอก
OpenCode API key รั่ว กระทบธุรกิจไทยอย่างไร
OpenCode API key รั่ว กระทบธุรกิจไทยใน 2 ชั้น ชั้นแรกคือเงิน เพราะบิลค่า AI ถูกคิดในนามเจ้าของ key ชั้นที่สองคือข้อมูล ถ้า key เดียวกันเปิดเข้าระบบที่มีข้อมูลลูกค้าได้ เหตุนี้อาจกลายเป็นเหตุละเมิดข้อมูลส่วนบุคคล ส่วนนี้เป็นการวิเคราะห์ของผู้เขียน
Software house ที่ถือ key ของลูกค้าต้องรับผิดอะไร
Software house ที่รับจ้างพัฒนาระบบและถือ key ของลูกค้า มักอยู่ในฐานะผู้ประมวลผลข้อมูลส่วนบุคคล ต้องรักษาความปลอดภัยตามที่ตกลงกับลูกค้า ถ้าเอา key ไปฝากไว้ในเครื่องมือภายนอกที่ลูกค้าไม่รู้ อาจถูกตั้งคำถามว่าทำผิดข้อตกลง เงื่อนไขนี้ควรเขียนไว้ใน ข้อตกลงประมวลผลข้อมูล (DPA) ว่าห้ามเก็บ key ลูกค้าในเครื่องมือภายนอกโดยไม่ได้รับอนุญาต
บริษัทที่ใช้ AI API กับข้อมูลลูกค้า ต้องแจ้ง สคส. ไหม
ต้องประเมินทันทีที่รู้ว่า key หลุด ถ้า key เข้าถึงระบบหรือประวัติการเรียกใช้ที่มีข้อมูลส่วนบุคคลได้ และมีความเสี่ยงต่อสิทธิของเจ้าของข้อมูล ต้องแจ้ง สคส. ภายใน 72 ชั่วโมงตาม PDPA มาตรา 37(4) ถ้า key ใช้ได้แค่เรียกโมเดลโดยไม่เห็นข้อมูลเก่า ความเสี่ยงด้าน PDPA ต่ำกว่า แต่ควรบันทึกเหตุผลการประเมินไว้
Startup ไทยที่ใช้ Google Cloud เสี่ยงอะไรเพิ่ม
ความเสี่ยงเพิ่มคือบริการหยุด เพราะรายงานระบุว่าบาง Google Cloud project ถูกระงับ ถ้าแอปของ startup รันอยู่บนโปรเจกต์เดียวกับ key ที่หลุด ลูกค้าอาจใช้บริการไม่ได้ทั้งที่ระบบหลักไม่ได้ถูกเจาะ บทเรียนเรื่องแยก key ตามงานเคยสรุปไว้ใน AI API Key รั่ว: บทเรียนด่วนจากรายงาน Anthropic ที่ธุรกิจไทยต้องอ่าน
ทีม dev ในองค์กรใหญ่ต้องคิดเรื่องอะไร
ทีม dev ในองค์กรใหญ่ต้องคิดเรื่องเครื่องมือที่พนักงานสมัครใช้เอง เพราะ key ขององค์กรอาจไปอยู่ในบริการที่ฝ่ายไอทีไม่รู้จัก ความเสี่ยงของเครื่องมือเขียนโค้ด AI มีสรุปไว้ใน AI Coding Agent เสี่ยงแค่ไหน? ธุรกิจไทยต้องคุมสิทธิ์ก่อนใช้จริง
เทียบกับกฎหมายไทย: OpenCode API key รั่ว ต่างจาก PDPA และกฎไทยอย่างไร
กฎหมายไทยไม่ได้พูดถึง API key ตรง ๆ แต่ผลของ key รั่วเข้าข่ายหน้าที่ความปลอดภัย การแจ้งเหตุ และความผิดฐานเข้าถึงระบบโดยมิชอบ ตารางนี้เทียบสิ่งที่เกิดในข่าวกับกฎไทย
| ประเด็น | กรณี OpenCode (ตามข่าว) | กฎหมายไทย |
|---|---|---|
| ความปลอดภัยของ key | key ที่ฝากไว้ใน Console หลุด | PDPA ม.37(1) ต้องมีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม |
| การแจ้งเหตุ | บริษัทแจ้งผู้ใช้และสื่อ | PDPA ม.37(4) แจ้ง สคส. ภายใน 72 ชม. ถ้ามีข้อมูลส่วนบุคคลเสี่ยง |
| คนร้ายใช้ key | เก็บเงินโดยไม่ได้อนุญาต | พ.ร.บ.คอมพิวเตอร์ ม.5 เข้าถึงระบบโดยมิชอบ |
| ข้อมูลในระบบ | ยังไม่เปิดเผยช่องทางเจาะ | พ.ร.บ.คอมพิวเตอร์ ม.7 เข้าถึงข้อมูลโดยมิชอบ |
ช่องว่างที่องค์กรไทยต้องปิดเองคือสัญญา เพราะกฎหมายไม่ได้บอกว่าใครต้องจ่ายบิลที่คนร้ายสร้าง ถ้าสัญญาจ้างไม่เขียนไว้ ข้อพิพาทเรื่องเงินระหว่างผู้ว่าจ้างกับ software house จะยืดเยื้อ
ถ้าไม่ทำอะไรเลย องค์กรไทยเสี่ยงอะไร
ถ้าไม่ทำอะไร key ที่หลุดจะถูกใช้ต่อจนกว่าจะถูกบล็อก บิลค่า AI อาจสูงเกิน 1,000 ดอลลาร์ต่อบัญชีตามที่เกิดในข่าว และบริการบน Cloud อาจถูกระงับกลางทาง
ความเสี่ยงที่หนักกว่าคือแจ้ง สคส. ไม่ทัน 72 ชั่วโมง ถ้าภายหลังพบว่า key เปิดเข้าข้อมูลลูกค้าได้ องค์กรจะอธิบายยากว่าทำไมไม่ประเมินตั้งแต่วันที่รู้เหตุ
ทีม dev และ software house ไทยควรทำอะไรตอนนี้
ทีม dev และ software house ควรทำ 5 เรื่องนี้ภายใน 24 ชั่วโมงหลังรู้ว่าเคยใช้ OpenCode Console เพื่อจำกัดความเสียหายจาก OpenCode API key รั่ว
- 1. หมุน key ทุกตัว ยกเลิก key ที่เคยใส่ใน OpenCode Console แล้วออก key ใหม่ ทั้ง OpenAI Anthropic และ Google
- 2. ตั้งเพดานค่าใช้จ่าย กำหนดวงเงินต่อเดือนและการแจ้งเตือนในหน้าจัดการบัญชีของผู้ให้บริการ AI
- 3. ตรวจ log การเรียกใช้ ดูการเรียกใช้ตั้งแต่ 17 ต.ค. 2569 ว่ามีจากที่มาแปลก ๆ หรือไม่ และ key เห็นข้อมูลอะไรได้บ้าง
- 4. ประเมินการแจ้ง สคส. บันทึกว่าข้อมูลส่วนบุคคลเสี่ยงหรือไม่ และตัดสินใจภายใน 72 ชั่วโมง
- 5. ย้าย key เข้า vault ขององค์กร และเขียนในสัญญาจ้างว่าห้ามเก็บ key ลูกค้าในเครื่องมือภายนอก
ถ้าอยากเช็กความเสี่ยงหน้าเว็บขององค์กรเบื้องต้น ใช้ได้ที่ เครื่องมือสแกนความเสี่ยงเว็บไซต์ของ Kooru
มุมมองผู้เชี่ยวชาญ
ข้อสังเกตเชิงวิชาชีพของผมคือ ทีม dev มักมอง API key เป็นแค่รหัสเปิดบริการ แต่ในสายตากฎหมาย key คือกุญแจที่อาจเปิดเข้าข้อมูลลูกค้า key ที่รั่วหนึ่งตัวอาจไม่ใช่แค่บิลบาน แต่เป็นนาฬิกา 72 ชั่วโมงที่เริ่มเดินแล้ว จุดที่องค์กรมักพลาดคือใช้ key ตัวเดียวทุกงาน ควรแยก key ตามโปรเจกต์ ตั้งเพดานเงิน และรู้เสมอว่า key แต่ละตัวอยู่ที่ไหน
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
ประวัติผู้เขียน · นโยบายบรรณาธิการ
อ่านเพิ่มเติม: เหตุคีย์ของนักพัฒนาเสี่ยงหลุดครั้งล่าสุด อ่านต่อที่ Railway และ LiteLLM ถูกเจาะวันเดียวกัน คีย์คลาวด์และคีย์ AI ของนักพัฒนาเสี่ยงหลุด สตาร์ทอัพไทยต้องหมุน key และประเมินเหตุตาม PDPA
คำถามที่พบบ่อยเกี่ยวกับ OpenCode API key รั่ว
ใครได้รับผลกระทบจาก OpenCode API key รั่ว
ผู้ใช้ OpenCode Console ราว 1.4% ตามที่บริษัทแจ้งเมื่อ 19 ตุลาคม 2569 ส่วนแอป open-source และ CLI ไม่ได้รับผลกระทบ
ถ้าเคยใช้ OpenCode ต้องทำอะไรก่อน
หมุน key ทุกตัวที่เคยใส่ใน OpenCode Console ก่อน แล้วตั้งเพดานค่าใช้จ่ายและตรวจ log ตั้งแต่ 17 ตุลาคม 2569
ใครจ่ายเงินที่คนร้ายใช้ key ไป
รายงานระบุว่า OpenAI คืนเครดิตให้ ส่วน Anthropic และ Google บล็อก key ที่หลุด สำหรับความรับผิดระหว่างผู้ว่าจ้างกับ software house ในไทย ขึ้นอยู่กับสัญญาที่ทำไว้
API key รั่วต้องแจ้ง สคส. ไหม
ต้องประเมินเป็นรายกรณี ถ้า key เข้าถึงข้อมูลส่วนบุคคลได้และมีความเสี่ยงต่อเจ้าของข้อมูล ต้องแจ้ง สคส. ภายใน 72 ชั่วโมงตาม PDPA มาตรา 37(4)
อ่านต่อ: ความรู้ที่เกี่ยวกับเรื่องนี้
- คู่มือ: แจ้งเหตุละเมิดข้อมูลส่วนบุคคลภายใน 72 ชั่วโมง ต้องทำอย่างไร — ถ้าประเมินแล้วว่า key ที่หลุดเปิดเข้าข้อมูลลูกค้าได้ คู่มือนี้ไล่ขั้นตอนแจ้ง สคส. ให้ทันกำหนด (aipdpa.com)
แหล่งอ้างอิง
- TechCrunch — (อ่านต้นฉบับ) — อ่านข่าวที่ TechCrunch
- StepSecurity — (อ่านต้นฉบับ) — อ่านบทวิเคราะห์ที่ StepSecurity
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
