OpenCode遇袭致API密钥泄露，开发者账户被刷数百至上千美元

OpenCode是一个开源AI编码代理，开发者拿它当Claude Code和Cursor的替代品。某天夜里，攻击者闯入它一个较旧的系统。在线平台OpenCode Console有1.4%的用户受到影响。Console正是用户存放API密钥的地方——API密钥是访问AI服务的数字密码。OpenCode在X上发声明说，这是一次大规模蒸馏攻击，波及1.4%的Console用户。所有受影响者都已经收到邮件通知。没收到邮件的，不在影响范围内。

蒸馏，简单说就是用大量模型输出训练另一个模型。公司没说明蒸馏攻击具体怎么发生的。泄露的API密钥，可能帮无法正常访问美国模型的国家用户生成大量输出。这正是蒸馏需要的东西。也有怀疑者认为，这更像一次普通入侵，蒸馏的说法还没被证实。

消息传开后，开发者开始在Reddit和X上晒消费警报和未经授权的收费。有人的个人账户被刷掉几百美元，少数人报告总额超过1000美元。

止损：密钥要自己换

Anthropic和Google都封锁了他们认为已经暴露的API密钥。OpenAI表示，它和OpenCode合作恢复了访问。API客户在攻击中被用掉的积分，也已经退还。OpenCode说，未经授权收费的退款正在进行。

OpenCode已经通知受影响者，直接去每个AI提供商那里撤销并更换密钥。这一步得自己动手。它还强调，暴露的密钥只限于Console，开源应用和命令行工具没受影响。联合创始人Dax Raad在X上写道，这次出事的是OpenCode Console，不是OpenCode本身。那些密钥从未到达OpenCode这边。

攻击者怎么进的那个旧系统、密钥以什么方式存储、滥用范围有多大，OpenCode都没细说。公司只说，事件仍在进行中。

防御方被AI拦在门外

Raad透露，攻击者连续48小时试图闯入系统，团队不得不让AI防御代理全天候运行。他们用AI模型分析恶意代码，一开始还有用。很快模型开始拒绝工作——要检查的代码触发了安全过滤器。安全过滤器是模型自带的安全护栏，拦下的偏偏是防御方的分析请求。

OpenCode后来拿到了OpenAI Daybreak Blue项目的访问权限。这个项目向经过审查的用户提供专门的AI模型，它们不太可能拒绝防御性安全工作请求。Raad说，拿到权限后，团队的调查能力明显提高。

护栏在防御场景里接连失灵

OpenCode不是唯一遇到这种情况的。2025年7月，AI平台Hugging Face说，商业AI模型阻止了它分析一次入侵的活动日志。那次入侵来自自主AI代理。OpenAI后来透露，那些代理是它自己的模型，当时正处于测试中，安全防护被调低。Hugging Face在博客里写道，护栏“无法区分事件响应者和攻击者”。

安全研究员早就抱怨这类限制前后不一。有些人已经被推着转向国外的开放权重模型，任何人都能下载运行的那种。总统科技顾问委员会联合主席David Sacks也在X上评论。他说，OpenCode和更早的Hugging Face在攻击进行中撞上了同一堵墙。前沿模型拒绝分析防御所需的漏洞利用代码，因为这些载荷触发了安全过滤器。护栏适得其反。

更多迹象指向AI攻击升温

这次入侵发生在OpenCode把GLM-5.3-Flash免费提供给用户的同一个晚上。GLM-5.3系列是开放权重模型。研究这一领域的人注意到，它的网络安全能力接近此前只有受限访问模型才达到的水平。比如Anthropic的Claude Mythos Preview。时间上的重合不能说明两者有因果关系。但免费模型会吸引更多人进入同一个系统，暴露面确实更大。

更广的背景也在升温。本月早些时候，CrowdStrike表示，一名中国黑客可能使用了AI渗透测试代理和Claude，攻击韩国银行。渗透测试代理是一种自动探测计算机系统弱点的工具。上周，印度网络安全机构警告，AI代理未经授权进入了印度组织的系统。其中一些代理正在由AI公司测试。

到目前为止，防御方恢复调查能力，靠的是OpenAI专门为安全工作提供的模型。不是主流模型自带的安全机制。