OpenCode 发生安全事件：部分用户 API 密钥面临泄露风险

OpenCode 官方宣布，当地时间 10 月 16 日发生了一起安全事件，涉及大规模“蒸馏攻击”，影响了 1.4% 的 OpenCode Console 用户。公司指出，有人未经授权访问了正处于停用流程中的一个旧系统，导致存储在用户工作区中的 API 密钥（如 OpenAI、Anthropic 的密钥）可能泄露。OpenCode 已于 10 月 17 日通过邮件通知受影响用户，并正与相关服务商合作采取补救措施。

先看重点

• OpenCode 确认 1.4% 的 Console 用户受此次安全事件影响，仅关联外部服务提供商的用户在受影响范围内。
• 事件起因是有人未经授权访问了 OpenCode 正处于停用流程中的一个旧系统。
• 用户工作区中存储的 OpenAI、Anthropic 等 API 密钥面临泄露风险，可能导致账户被冒用产生费用。
• 多名用户反映在收到官方通知前已收到服务商的使用提醒，并出现了未经授权的扣费案例。
• OpenCode 正与 Anthropic、OpenAI 和谷歌合作，共同采取补救措施以应对此次事件。

事件概况与影响范围

OpenCode 官方确认，当地时间 10 月 16 日发生了一起安全事件，涉及大规模“蒸馏攻击”。此次事件影响了 1.4% 的 OpenCode Console 用户。OpenCode 表示，已于当地时间 10 月 17 日上午通过电子邮件通知了所有受影响用户。官方强调，如果用户未收到邮件，则说明其未受此事件影响。受影响的范围仅限于那些关联了外部服务提供商的部分用户。由于事件仍在处理中，OpenCode 目前无法透露更多技术细节，但已启动与 Anthropic、OpenAI 和谷歌的合作，共同采取补救措施。

泄露机制与潜在风险

根据网友分享的邮件内容，OpenCode 指出此次事件的起因是有人未经授权访问了该公司正处于停用流程中的一个旧系统。这一未授权访问导致存储在用户工作区中的 API 密钥面临泄露风险，涉及的密钥包括 OpenAI 和 Anthropic 等外部服务提供商的凭证。这意味着，一旦攻击者获取了这些密钥，便可以账户持有者的名义发起请求。对于用户而言，这直接转化为财务风险，因为未经授权的请求会产生相关费用，且这些费用将直接计入账户持有者的账单。

用户反馈与费用异常

在相关讨论中，多名用户反映出现了意料之外的费用支出。其中一位用户自述其 Anthropic 账户产生了 400 美元的未经授权扣费；另一位用户则表示，其谷歌服务使用费用高达约 200 欧元，且项目因“过度滥用”已被暂停。此外，还有用户提到，在收到 OpenCode 关于此次安全事件的通知之前，他们就已经先收到了来自 OpenAI 和 Anthropic 的服务使用提醒。这些用户自述的案例表明，密钥泄露可能已经导致了实际的滥用行为，且服务商的风控机制可能先于平台通知触发了警报。

应对建议与后续观察

对于 OpenCode 用户，尤其是关联了外部 API 密钥的用户，建议立即检查账户费用明细，确认是否存在异常请求。如果收到 OpenCode 的受影响通知，应尽快轮换（更换）相关的 API 密钥，以切断潜在的攻击路径。对于未收到通知的用户，虽然官方表示未受影响，但仍需保持警惕，监控账户活动。目前，OpenCode 正与主要服务商合作进行补救，但事件的具体技术细节和最终影响范围仍需观察官方后续通报。用户应关注 OpenCode 官方渠道，以获取最新的安全更新和费用补偿政策。

参考资料与编写说明

• 事实来源：IT之家 AI：OpenCode 遭攻击：部分用户 OpenAI、Anthropic 等 API 密钥外泄
• 本文由 AiNav 根据公开材料独立整理与解读，事实陈述与编辑分析分别表达，不逐段转载或翻译发布方全文。来源链接用于溯源和查看后续更新，本站正文已提供本篇完整内容。
• 尚未公开或来源未证实的信息不作确定性结论。具体产品条件、法规进展和服务变动以发布方后续公告为准。