OpenCode 遭入侵，用戶 API 金鑰外洩
AI 程式開發工具 OpenCode 的線上主控台 Console 遭入侵，官方稱影響 1.4% 的 Console 用戶，用戶存放的 Anthropic、OpenAI、Google 等供應商 API 金鑰外洩，部分用戶回報數百至 1,700 美元的未授權費用。官方稱開源應用與命令列工具不受影響。本站使用 Anthropic 的 Claude 協助製作
OpenCode 表示，其線上主控台 Console 遭遇一次「與大規模蒸餾攻擊有關」的資安事件，影響 1.4% 的 Console 用戶，攻擊者取得用戶存放的外部 AI 供應商 API 金鑰。據報導，部分用戶出現未授權費用，OpenCode 稱已通知受影響者並退款。
OpenCode 是開源的 AI 程式開發工具，使用者可在 Console 連結 Anthropic、OpenAI、Google 等供應商的金鑰。官方寄給用戶的電子郵件稱，金鑰最早可能自 10 月 17 日 00:30 UTC 起暴露，且除金鑰外未發現其他資料外洩；沒有收到信的用戶表示不受影響。
據報導，部分用戶回報一夜之間出現數百美元至 1,700 美元的未授權費用，Google 也暫停部分用戶專案。TechCrunch 報導 Anthropic 與 Google 已封鎖其認為外洩的金鑰，OpenAI 協助恢復存取並退還攻擊期間耗用的額度。OpenCode 要求受影響用戶向各供應商撤銷並更換金鑰。
共同創辦人 Dax Raad 表示，攻擊者持續進攻至少 48 小時並使用 AI 代理，團隊以 AI 防禦代理應對；調查曾因 AI 模型的安全機制拒絕分析惡意程式碼而受阻。OpenCode 尚未說明入侵方式與金鑰儲存方式，部分質疑者認為「蒸餾攻擊」的說法尚未證實。 揭露：本站內容由 Anthropic 的 Claude 協助整理。
跟你的關係
若你把 AI 供應商金鑰存在第三方工具或平台，一次入侵就可能被拿去盜刷。建議為各金鑰設定用量上限與告警，收到通知就立即撤銷更換，並避免把金鑰集中存放在單一服務。
重點
- OpenCode Console 遭入侵，官方稱 1.4% 用戶受影響
- 外洩的是用戶存放的外部供應商 API 金鑰
- 部分用戶回報數百至 1,700 美元未授權費用
- 官方稱開源應用與命令列工具不受影響
- 入侵方式與「蒸餾攻擊」說法尚待證實
來源
本站內文為依上列來源整理的摘要，未另外增加事實；細節請以原文為準。