OpenCode遭黑客攻击：AI编程工具API密钥泄露

开源AI编程工具OpenCode确认遭遇安全入侵，其云端控制台中约1.4%用户的OpenAI、Anthropic、Google API密钥可能泄露，已有用户报告出现最高1700美元的未经授权账单。这起10月17日前后的事件，再次把”AI代理平台即凭证金库”的风险摆上了台面。

事件详情：周六披露，约1.4%用户受影响

10月17日（周六），OpenCode团队在X平台披露，项目遭遇了与”大规模蒸馏攻击”（large-scale distillation attack）相关的安全事件，约1.4%的OpenCode Console用户可能受到影响。当天，OpenCode向受影响用户发送了题为”Action Required: Potential provider key breach”的通知邮件。

根据BleepingComputer的报道，入侵者访问的是OpenCode托管控制台（Console）中的一个遗留系统——该系统原本已准备下线。受影响的用户均为在Console中关联了第三方AI服务商的workspace用户，他们存放在工作区中的服务商API密钥可能被暴露。OpenCode在邮件中表示，最早可能的暴露窗口为2026年10月17日00:30 UTC，并建议用户撤销并更换受影响的密钥。

OpenCode联合创始人Dax Raad表示，攻击者曾连续48小时试图突破其系统，团队随后对全部系统进行了加固。

OpenAI、Anthropic、Google三家密钥牵连其中

OpenCode在通知中点名的第三方服务商包括OpenAI、Anthropic和Google。这意味着，一旦这些密钥落入他人之手，攻击者可以用受害者的账户额度发起推理调用，费用将直接记在密钥持有者的账单上。

多家安全媒体报道，已有用户报告出现未经授权的API收费，个别案例一夜之间产生超过1700美元的账单；还有用户称其Google Cloud项目因异常活动被暂停。OpenCode称正直接与OpenAI、Anthropic、Google协作处理此次事件，并向受影响用户提及可能的费用补偿。

需要强调的是，此次事件影响的是托管的Console服务。在命令行和桌面应用中本地保存密钥的用户不受影响——这些密钥存放在用户本机的SQLite数据库中，不在入侵范围内。OpenCode也表示，截至目前尚未确认密钥是否实际被复制，表述为”可能暴露”（may have been exposed）；公司尚未披露密钥在该系统中的存储方式，也未说明攻击者的身份。该事件没有对应的CVE编号。

背景分析：平台成了”凭证金库”

所谓蒸馏攻击，是指攻击者通过向目标模型发起海量查询、收集其输出，进而复制或近似其能力的做法，通常被视为一种模型能力窃取手段。但在OpenCode事件中，攻击行为最终落到了一座”老系统”上：一个本应退役的遗留基础设施，成了整个凭证体系的薄弱环节。

这正是当前AI编程工具的典型信任模型：为了方便团队协作，许多托管式AI网关或控制台允许用户把各家服务商的密钥集中存放在平台侧，平台替用户发起调用，用户甚至不需要看到密钥本身。OpenCode Console的文档就明确描述了这种”工作区成员可用模型但看不到密钥”的设计。方便的另一面是，平台不知不觉就成了一座凭证金库——一次单点突破，就可能同时牵连OpenAI、Anthropic、Google三家的计费账户。

AI编程与智能体工具越普及，这类”第三方托管密钥”的集中度风险就越高。托管平台的密钥管理能力，将直接决定一次入侵的 blast radius 有多大。

影响与展望：用户先做这几件事

对OpenCode用户而言，行动清单很明确：如果你收到过OpenCode的通知邮件，立即在各服务商后台撤销并更换相关密钥，检查10月16日以来的用量与账单记录，为密钥设置支出上限与告警；即便没有收到邮件，也建议检查密钥用途，遵循”一工具一密钥”的最小权限原则。

对行业来说，这次事件敲响了两记警钟：第一，退役中的遗留系统不能”裸奔”——它们往往安全投入最低，却还握着真实凭证；第二，托管式AI代理平台需要把密钥管理当作核心安全能力来设计：短期凭证、细粒度权限、可过期密钥、异常用量熔断，这些都应该成为标配，而不是事后补救。

OpenCode表示事件仍在调查中，后续技术细节有待公布。考虑到AI编程工具正快速进入企业开发流程，平台侧密钥安全将成为采购与合规评估中绕不开的一环。