OpenCode安全事件曝光 攻击者获取用户第三方AI服务商密钥

OpenCode对外披露安全事件，平台遭遇大规模蒸馏攻击，约1.4%的OpenCode Console用户受到波及。攻击源头来自一套正在下线流程中的旧系统，入侵者拿到系统访问权限，读取用户工作区内存储的第三方服务商凭证。

泄露范围包含OpenAI、Anthropic以及谷歌的 API 密钥。持有密钥的人员可以直接调用对应模型接口，消耗用户账户额度，产生非本人操作的账单记录。社区反馈已经出现多笔异常扣费案例，部分用户账单金额达到数百美元。

OpenCode通过邮件定向通知受影响账户。未收到通知的账号不在本次事件覆盖范围。团队同步对接 OpenAI、Anthropic、谷歌开展处置动作，推进风险拦截。

平台推送操作指引，提醒关联外部模型密钥的用户立即登录对应服务商后台，撤销旧密钥并生成新密钥。密钥撤销操作可以阻断攻击者继续调用接口，减少额外资金损耗。

OpenCode作为开源代码智能体工具，允许开发者接入多家大模型服务商密钥，统一完成代码编写与调试工作。这类聚合工具的密钥托管模式，持续面临凭证存储层面的安全考验。