OpenCode安全事件致1.4%用户API密钥泄露，单日最高刷费超1700美元

10月16日晚，开源AI编程助手OpenCode发生一起安全事件，波及约1.4%的云端Console用户。据OpenCode官方通报，攻击者未经授权访问了该公司正处于停用流程中的一套旧系统，其中存储的第三方模型API密钥存在泄露风险。受影响用户主要为将OpenAI、Anthropic、Google Vertex AI等服务商密钥托管至OpenCode Console以实现跨设备同步与团队协作的开发者。

事件爆发后，大量开发者在Reddit、X（原Twitter）及Hacker News上报告异常账单：一位用户在数小时内被刷走400美元，调用记录显示攻击者高频请求Claude 3.5 Sonnet模型；另一用户OpenAI账户单日支出突破700美元；更有Google Cloud用户因费用突增逾1000美元触发反欺诈机制，整个生产环境被系统级暂停；损失最严重者单日非授权调用金额达1700美元以上。值得注意的是，多位受害者表示，在收到OpenCode通知前已先收到来自OpenAI与Anthropic的服务异常提醒邮件，印证了密钥已被实际使用。

OpenCode于10月17日上午通过邮件向受影响用户发出通知，并强调“未收到邮件即未受影响”。公司称正与Anthropic、OpenAI及Google合作撤销涉事密钥并评估损失。然而其将事件归因为“大规模模型蒸馏攻击”的解释引发广泛质疑——技术社区普遍认为，这本质上是一次典型的凭证泄露事件：攻击者获取API Key后直接调用付费接口，与模型蒸馏（即用大模型生成小模型训练数据）无直接关联。有安全研究员指出，将基础设施层漏洞包装为AI层面的“蒸馏攻击”，既模糊了责任边界，也可能误导后续防护方向。

更严峻的是，攻击并未随密钥撤销而终止。OpenCode联合创始人Dax Raad于10月18日透露，过去48小时内黑客持续尝试入侵系统。团队在紧急加固过程中甚至遭遇分析工具“罢工”：用于溯源的前沿AI模型因网络安全策略限制拒绝响应请求，直至获得OpenAI Daybreak Blue特殊权限后才恢复工作。戏剧性的是，Dax本人的个人账号也成为攻击目标，他在X平台发文称：“我的个人账号现在也开始遭受攻击了。AI驱动的黑客攻击，正在创造一个全新的世界。”此情景与数月前Hugging Face遭AI Agent入侵后的调查过程高度相似，凸显出当前AI原生工具链在安全设计上的共性短板。

此次事件暴露出AI开发工作流中的新型风险点：API密钥作为连接开发者账户与云计费系统的“数字信用卡”，一旦集中托管于第三方平台，便构成高价值攻击面。与传统Web时代仅窃取用户名密码不同，LLM API密钥失窃意味着攻击者可直接消耗开发者预付配额或绑定信用卡进行无上限调用，且调用行为本身符合正常API协议，难以被服务端即时识别为恶意流量。

OpenCode Console的设计初衷是提升协作效率——用户无需向团队成员共享原始密钥，即可统一管理模型调用权限。但便利性背后隐含着中心化风险：当密钥存储于单一云端服务时，该服务的安全水位即决定了所有接入模型的防护底线。此次事件中被攻破的“停用旧系统”，恰恰说明退役资产若未彻底清除敏感数据，极易成为攻击跳板。

行业观察指出，随着AI编程工具普及，类似OpenCode的“密钥托管+模型路由”模式已成为主流架构。GitHub Copilot Workspace、Codium、CodeLlama Studio等产品均提供类似功能，但多数尚未公开披露其密钥加密与隔离机制。安全专家建议开发者采取最小权限原则：避免将生产环境密钥存入第三方平台；启用API密钥轮换与用量告警；对高价值账户配置独立支付限额与二次验证。

目前，Anthropic、OpenAI与Google已协同撤销涉事密钥，部分用户正与云服务商协商费用减免。OpenCode承诺将发布完整事件复盘报告，但截至发稿仍未说明旧系统具体技术栈及访问路径。在AI原生应用快速落地的当下，此次事件为整个工具链生态敲响警钟：当开发工具本身成为攻击入口，安全不能仅依赖服务提供商的“事后补救”，而需从架构设计之初嵌入纵深防御能力。