OpenCode云端遭入侵：第三方API密钥疑泄露，用户称被扣400美元

AI 编程工具 OpenCode 披露安全事件，波及 1.4% 的 Console 用户。受影响者均曾在云端关联第三方模型服务。用户公开的通知显示，一套正在停用的旧系统遭到未授权访问，保存在工作区的 OpenAI、Anthropic 等 API 密钥可能泄露。团队已向受影响者发送邮件。

OpenCode 不仅提供本地编程工具，还有一套可选的云端 Console 服务。用户可以将自己的 API 密钥交给 Console 托管，再由它代为调用模型。团队成员也能共用这些模型，无需直接接触原始密钥。

攻击者一旦拿到这些密钥，就能绕过用户登录，直接调用付费模型，费用仍由原用户承担。Reddit 一名用户称，其 Anthropic 账户出现了 400 美元未经授权的调用费用。

OpenCode 将事件与「大规模模型蒸馏攻击」联系起来。蒸馏是批量收集一款模型的回答，再用这些数据训练另一款模型。如果攻击者盗用大量 API 密钥，就可能借别人的账户收集训练数据，把高昂的模型调用费用转嫁给用户。

OpenCode 正与 Anthropic、OpenAI 和 Google 处理事件。Anthropic 的 Lydia Hallie 表示，公司已撤销认为可能受影响的 Claude API 密钥。OpenCode 则要求受影响用户到对应模型服务商后台撤销并更换密钥，检查近期是否存在异常调用。

信源

动察 Beating 频道 · 动察 Beating 交流群