开源 AI 编程工具 OpenCode 遭入侵，约 1.4% 用户受影响

ChainCatcher 消息，网易号《DeepTech深科技》报道，开源 AI 编程工具 OpenCode 官方确认遭遇入侵，约 1.4% 的 OpenCode Console 用户受影响，部分保存在平台上的模型 API 密钥可能泄露。多名开发者称用于调用 OpenAI、Anthropic 等模型的账户出现异常费用，有人报告损失数百美元，有人称超过 1700 美元。官方称事件与一场大规模蒸馏攻击有关，并正与 OpenAI、Anthropic、Google 共同处理。OpenCode 由 Anomaly 团队相关人员开发，主要创建者之一为 Dax Raad，团队此前有 SST、OpenNext 等项目。除本地程序外，其云端服务 Console 可将 OpenAI、Anthropic、Google 等厂商的 API 密钥集中保存在工作区并代为调用，事故发生在这项云端服务上。通知邮件称，攻击者未经授权访问一套正在停用的旧系统，部分 Console 工作区中的第三方模型 API 密钥可能暴露。开发者 Colin Parsons 称 OpenAI 账户约 281 美元、Anthropic 账户约 168 美元出现异常费用，Preston Zeller 称损失约 1700 美元。另有用户报告 Anthropic 约 400 美元异常费用，以及 Google 服务因异常使用触发账户限制。OpenCode 已通知受影响用户撤销并更换密钥、检查近期调用记录。Anthropic Claude Code 团队成员 Lydia Hallie 表示，Anthropic 已与 OpenCode 合作，并撤销被认为受影响的 Claude API 密钥。OpenAI 团队成员 Tibo 表示，正与 OpenCode 合作帮助受影响 API 用户恢复使用，并退还攻击期间被异常消耗的相关额度。Dax Raad 澄清，受影响的是 OpenCode Console，不是本地运行的 OpenCode，用户直接在本地工具中配置的密钥不会传到 OpenCode 服务器。10 月 18 日，他在社交平台称攻击者在过去 48 小时持续尝试入侵，团队正在加强防护。