OpenCode托管服务遭攻击，1.4%用户密钥外泄

在 OpenCode Console 里存过 OpenAI、Anthropic 或 Google API 密钥的用户，现在最稳妥的做法，是去各家后台把密钥吊销、重新生成。

开源编程智能体 OpenCode 的开发团队确认，一起大规模蒸馏攻击导致约 1.4% 的 Console 用户所存密钥暴露。受影响账户已收到邮件通知，团队正与三家模型厂商协同处置。密钥是否已被拿去恶意调用，目前还无法确认。

官方建议的动作有三个：吊销并重签密钥，检查 10 月 17 日以来的用量，设置支出上限。最后一条最容易被跳过，却最实用，就算密钥在吊销之前被人拿去刷，损失也有个封顶。

出事的位置要分清。OpenCode 开发者 dax 专门澄清，泄露来自 OpenCode Console 这项托管服务，用户的密钥并没有直接交给 OpenCode 本身。问题出在托管密钥的那一层服务，开源的编程工具本身不是泄露点。

蒸馏攻击的目标通常是模型输出，用海量请求套取回答，再拿去训练自己的模型。密钥一旦落到攻击者手里，这些请求的账单就可能记到用户头上。

把几家厂商的密钥集中托管在一个第三方平台，平时省事，出事时波及面也是集中的。

厂商那边反应不慢。Anthropic 的 Lydia Hallie 表示，已经撤销了受影响用户托管在 Console 上的 Claude API 密钥，建议在那里存过密钥的人重新生成。OpenAI 则和 OpenCode 合作恢复了受影响用户的 API 访问，退还攻击期间本会被扣掉的额度，另外开放了 Daybreak Blue 的访问权限，供防御性网络安全用途。