2026年10月17日，开源AI编程工具OpenCode的官方账号在X上确认遭遇安全事件：一台正待退役的旧系统遭到未授权访问，约1.4%的Console用户存在工作空间里的第三方模型API密钥（OpenAI、Anthropic、Google）可能被攻击者拿走。官方把攻击者的用途描述为一次"大规模蒸馏攻击"——攻击者不偷你的数据，偷的是用你的密钥调用最贵模型的额度，顺便把回答收走去训练自己的模型，账单却记在用户头上。这不是AI攻破AI的新剧本，而是一起经典的凭据泄露事件，只是它发生在了每个AI开发者都在做的事情上：把能无限花钱的密钥，随手交给第三方工具。微博小红书
一夜之间，谁的密钥遭了殃
攻击发生在10月16日夜间至17日，最先察觉异常的是用户自己：不少人的账户开始收到来自模型服务商的异常用量和费用提醒。开发者Max Weinbach在X上称，自己的OpenAI和Anthropic余额被刷空，Google也扣了一部分、账户还被临时限制。国内社区流传的晒单里，有用户称被刷掉约400美元，更高的一单达到1700多美元——这些损失金额均为用户自述或二手转述，尚未经官方证实。微博小红书新智元
OpenCode在17日凌晨通过邮件向受影响用户预警，要求用户去提供商后台吊销并重新生成密钥、更新相关应用、检查近期用量，并称正联合Anthropic、OpenAI和谷歌一起处置。官方同时给出了一个简单判断标准：没有收到邮件的用户，就不属于受影响范围。新智元微博
Anthropic方面动作最快：Claude Code团队成员Lydia Hallie回应称，所有疑似泄露的Claude API密钥已经全部强制吊销，并建议曾把密钥存在OpenCode的用户再创建一把新的。判断自己是否中招，还有一个关键区分：OpenCode开发者dax明确指出，泄露发生在云端的OpenCode Console，而非OpenCode工具本身，本地运行开源代理时使用的密钥"从未传到我们这边"。也就是说，只在本地用环境变量或配置文件跑代理的用户理论上不受影响，中招的前提是把第三方密钥绑定在了Console的工作空间里。新智元微博
"蒸馏攻击"这个说法，为什么有人不买账
按事件描述，攻击者拿到密钥后的动作是大量调用各家最贵的模型、把模型输出去训练自己的模型——这正是业内所说的"蒸馏"，而被盗的用户等于替这场模型训练买了单。但这个标签在社区里有争议，知乎上有回答直斥：这明明是API密钥泄露，最后把攻击类型归为蒸馏，什么锅都能往蒸馏头上扣。两种说法其实分别描述了链条的两端：泄露方式是入侵旧系统，泄露后的用途才是蒸馏。真正值得警惕的结论不取决于哪个标签，而在于这条链条里每一个环节都是可复用的：入侵一个防护薄弱的存储点→拿走批量密钥→变现或蒸馏，成本由密钥主人承担。微博知乎
API密钥为什么总被偷
这起事件把密钥反复失窃的结构性原因摊开了。
第一，密钥是"认钥不认人"的即期支付凭证。它不像登录密码可以靠二次验证守住账号：不需要你的身份、设备或脸，拿到就能花，花了就记在你账上。OpenCode给受影响用户的指引也强调：改登录密码不能代替撤销API密钥，只在工具里删除配置、甚至把本机程序关掉，都无法让已经流出的凭据自动失效——必须回到签发密钥的服务商后台，让旧Key作废。微博
第二，便利把密钥推向了第三方，而且一交就是多把。AI编程工具、终端代理、网页版套壳客户端……每接入一处，就等于把一张可无限刷的卡押在了别人前台，用户手里散落的密钥副本数量通常远超自己的记忆。这次出事的是Console这一处托管点，受影响的是那1.4%，但风险敞口远不止这一处。小红书
第三，攻击者挑的从来不是最强的墙。这次被入侵的是一台"反正快下线了"的旧系统——新旧交接期和待退役系统，恰恰是防护最松的重灾区：监控撤了、补丁停了，但密钥和数据还在里面。这不是OpenCode独有的坑，而是所有跑过长周期系统的公司都可能有的暗角。知乎
第四，吊销有滞后。部分服务商的密钥删除并非瞬间全网生效：Google的API密钥删除就遵循最终一致性原则，更新要逐渐传播到全球各地的服务器，这段时间里已泄露的旧密钥仍可能在个别节点上被继续使用。发现得越早，损失越小。知乎
现在该做什么，以及以后怎么防
如果用过OpenCode Console并绑定过外部模型密钥，处置顺序可以照官方的三步走：在服务商后台直接作废旧密钥、重新生成新密钥并更新相关应用、翻用量记录和账单找异常消费。用了Anthropic密钥的用户注意，无论是否主动操作，疑似泄露的Claude密钥已被强制吊销，都需要重新创建。已有部分谨慎的用户即使没收到邮件也做了预防性轮换。知乎
日常卫生同样值得趁这次事件过一遍：一把工具配一把独立的密钥，出问题可以精确吊销而不牵连其他用途；给密钥设置消费上限，被盗时把损失封在额度内；能不往第三方输入框里粘贴就不粘。这次事件里用户至少收到了官方公告——更常见的剧本是某个没听过名字的小工具悄无声息地关站，你的密钥和它的服务器一起消失在互联网里，直到下个月账单爆掉你才反应过来。知乎
截至10月18日，OpenCode表示事件仍在处置中，完整技术细节待后续披露，已披露信息中没有证据指向OpenCode开源工具本身存在漏洞或被入侵。微博
