近日，开源 AI 编程工具 OpenCode 陷入一场安全风波。
多名开发者发现，自己用于调用 OpenAI、Anthropic 等模型的账户出现异常费用，有人报告了数百美元的损失，也有人称损失超过 1,700 美元。随后，OpenCode 官方确认遭遇黑客入侵，约 1.4% 的 OpenCode Console 用户受到影响，部分保存在平台上的模型 API 密钥可能泄露。
令人意外的是，OpenCode 还在声明中提到，此次事件与一场“大规模蒸馏攻击”有关，并表示正在与 OpenAI、Anthropic、Google 三家模型厂商共同处理。
这一说法很快引发了开发者的讨论，也让 OpenCode 云端服务的安全问题受到关注。
图 | OpenCode 在社交平台确认发生安全事件（来源：X）
从开源明星项目到密钥泄露
OpenCode 是近年来颇受开发者关注的开源 AI 编程工具之一，其背后的 Anomaly 团队此前就活跃于开源开发工具领域，先后推出了 SST、OpenNext 等项目。其中，SST 主要帮助开发者构建和部署应用，相关团队曾入选知名创业孵化器 Y Combinator。
OpenCode 的主要创建者之一 Dax Raad，此前也长期参与开源软件开发。他曾在一次访谈中谈到，最初使用大模型辅助编程时，体验并不顺畅。程序员需要放下编辑器中的工作，打开浏览器向模型提问，再将生成的代码复制回开发环境，整个过程不断打断原有的工作节奏。
于是，OpenCode 希望把 AI 直接带入开发环境，让模型不再只是回答问题，而是能够读取项目文件、修改代码、运行命令，并根据开发者的要求持续完成任务。
与一些主要依赖自家模型的 AI 编程工具不同，OpenCode 还允许开发者自由接入不同厂商的模型。这种开放性成为其吸引用户的重要特点，也让模型接入和凭证管理成为产品需要解决的问题。
除了本地运行的程序，OpenCode 还提供名为 Console 的云端服务。团队可以将 OpenAI、Anthropic、Google 等模型厂商的 API 密钥集中保存在工作区中，再由 Console 代为调用模型。这样一来，团队成员不需要直接获取密钥，也能共同使用相应的模型服务。
此次安全事故，恰恰发生在这项云端服务上。
根据 OpenCode 向受影响用户发送的通知邮件，攻击者未经授权访问了一套正在停用的旧系统，部分保存在 Console 工作区中的第三方模型 API 密钥可能因此暴露。API 密钥相当于访问模型服务的身份凭证。只要密钥仍然有效，持有者就可能以原用户的身份调用模型，而产生的费用也会计入原账户。
在开发者公开的反馈中，Colin Parsons 表示，自己的 OpenAI 和 Anthropic 账户分别出现了 281 美元和 168 美元的异常调用费用；另一名开发者 Preston Zeller 则称，损失达到约 1,700 美元。此外，还有用户报告 Anthropic 账户产生约 400 美元的异常费用，以及 Google 服务因异常使用触发账户限制。
OpenCode 随后通知受影响用户撤销并更换密钥，检查近期的模型调用记录。Anthropic Claude Code 团队成员 Lydia Hallie 也在社交平台表示，Anthropic 已与 OpenCode 合作处理此次事故，并撤销了被认为受到影响的 Claude API 密钥。
图 | 受影响用户公开的 OpenCode 安全通知邮件（来源：Reddit 用户）
OpenAI 方面也已介入此次事件的后续处理。其团队成员 Tibo 在社交平台表示，OpenAI 正与 OpenCode 合作，帮助受到影响的 API 用户恢复正常使用，并退还攻击期间被异常消耗的相关额度。
面对外界的担忧，Dax Raad 专门作出澄清：受到影响的是 OpenCode Console，而非本地运行的 OpenCode 程序。用户直接在本地工具中配置的模型密钥不会传输到 OpenCode 服务器，因此，此次事件并不意味着所有 OpenCode 用户的密钥都面临泄露风险。
不过，OpenCode 目前披露的信息仍然有限。官方尚未说明攻击者如何进入旧系统、实际获取了多少密钥，以及是否还存在其他潜在风险。
密钥泄露背后，为何出现蒸馏攻击？
除了用户密钥可能泄露，OpenCode 官方声明中提到的“大规模蒸馏攻击”，也引发了开发者讨论。
模型蒸馏本身是一项常见的机器学习技术。简单来说，就是利用能力较强的模型生成训练数据，再用这些数据训练另一个模型，让后者学习前者的部分能力。这种方法可以降低模型训练和使用成本，也是开发轻量化模型的常用手段。
但如果有人未经授权，通过大量账户持续调用商业模型，收集其回答、代码生成结果等数据，再用于训练其他模型，就可能构成模型厂商所说的蒸馏攻击。
这一说法引发了一些开发者的质疑。有人认为，系统遭入侵、用户密钥泄露，与攻击者利用密钥开展模型蒸馏，是两个不同的环节。即使攻击者的最终目的是收集模型训练数据，也需要先解释他们如何获取用户凭证，以及这些凭证被用于哪些操作。
在相关讨论中，有开发者认为，“蒸馏攻击”的表述容易让外界将注意力集中到攻击者的目的，而忽略用户密钥泄露本身；也有人提出不同看法，认为蒸馏攻击可能只是用于描述攻击者的目的，而非具体的入侵手段。OpenCode 已经承认发生安全事件，因此不能仅凭这一表述，就认定官方试图回避自身责任。
相比事件如何定性，另一部分开发者更关心判断依据。有人希望 OpenCode 或相关模型供应商披露更多技术信息，包括异常请求的具体内容、调用特征，以及将其认定为蒸馏攻击的依据。因为目前用户公开的异常账单和调用量，只能说明账户可能出现了未经授权的使用，无法直接证明这些请求被用于收集模型训练数据。
不过，也有开发者认为，考虑到攻击和调查仍在进行，官方暂时不公开完整的技术细节可以理解。尤其是在攻击者仍尝试入侵系统的情况下，过早披露部分信息，也可能影响后续调查和防护工作。
目前，OpenCode 尚未公布完整的事件调查报告，攻击者的身份、实际泄露的密钥数量，以及蒸馏攻击与系统入侵之间的具体关系仍有待明确。
AI Agent 越来越强，安全问题也更加复杂
OpenCode 的这次事故，也让 AI 编程工具背后的安全问题受到关注。除了云端凭证可能泄露，OpenCode 团队在应对攻击的过程中，还遇到了 AI 模型自身安全机制带来的限制。
10 月 18 日，OpenCode 联合创始人 Dax Raad 在社交平台透露，攻击者过去 48 小时一直在尝试入侵 OpenCode 的系统，团队则在持续加强防护。他还表示，自己的个人账号同样遭到攻击尝试。
（来源：社交媒体 X）
不过，OpenCode 团队在使用 AI 协助调查时也遇到了阻碍。Raad 表示，模型在完成大量分析后，因触发网络安全限制而拒绝继续提供帮助，直到团队获得 OpenAI Daybreak Blue 的访问权限，情况才有所改善。Daybreak Blue 是 OpenAI 面向获得授权的网络安全防御工作提供的专门访问机制，旨在支持更复杂的安全研究和事件响应任务。
除了 AI 在网络安全调查中的应用，OpenCode 事件还涉及 AI 编程工具自身的权限管理。
与主要根据用户输入生成内容的聊天机器人不同，OpenCode 这样的 AI 编程智能体可以直接读取和修改项目文件、运行终端命令、访问网络，还能连接不同模型和外部服务。为了完成这些操作，它们通常需要获得模型 API 密钥、代码仓库权限，以及其他开发环境中的访问凭证。
此次受到影响的 OpenCode Console，正是为了方便开发者集中管理模型调用而设计。团队可以通过云端平台统一使用多个模型，减少重复配置和密钥传递。但与此同时，平台也承担起保护这些敏感凭证的责任。一旦云端服务遭到入侵，不同模型账户的访问权限就可能同时受到影响。
针对这次事件，安全公司 StepSecurity 在事件发生后发布的分析文章中，建议使用 OpenCode Console 的开发者检查关联的模型供应商账户，撤销可能受到影响的密钥，并核对近期调用记录。对于企业用户，还需要确认其他开发环境中是否使用了相同凭证，避免泄露风险进一步扩大。
除了云端凭证管理，AI 编程工具在本地环境中的执行权限也值得关注。
OpenCode 在 GitHub 官方安全政策中说明，其 Agent 可以执行终端命令、操作文件和访问网络，但默认没有真正的沙箱隔离。换句话说，即使部分操作需要用户确认，也不意味着 Agent 的活动受到系统层面的严格限制。对于有隔离需求的用户，官方建议在 Docker 容器或虚拟机中运行 OpenCode。
此前已有开发者指出，即使禁止 Agent 直接修改某些文件，它仍可能通过获得授权的终端命令间接修改文件。因此，有人建议增加独立的沙箱，对文件和网络访问进行更严格的限制。
这些问题与此次 Console 遭入侵并没有已证实的直接联系，但也反映出 AI 编程工具需要面对的两类安全风险：一是如何保管用户的 API 密钥，二是如何控制 Agent 的实际操作权限。
随着 AI Agent 能够独立完成越来越多的开发任务，开发者在享受便利的同时，也需要更加关注它能访问哪些数据、执行哪些操作。OpenCode 此次事件再次提醒人们，AI 编程工具的安全不仅取决于模型本身，也取决于支撑这些功能的云端服务和权限管理机制。
参考链接：
https://x.com/opencode/status/2111519637049319818
https://www.reddit.com/r/opencode/comments/1x8bas3/they_fd_up_breach/
https://thehackernews.com/2026/10/opencode-console-breach-may-have.html
https://www.stepsecurity.io/blog/opencode-security-breach
https://vibeincidents.com/incidents/opencode-provider-key-exposure-2026-10/
https://opencode.ai/
https://www.anthropic.com/news/detecting-and-preventing-distillation-attacks
https://www.anthropic.com/threat-intelligence-report-september-2026?page=1
https://www.anthropic.com/research/distillation-defenses
运营/排版：何晨龙
注：封面/首图由 AI 辅助生成
