OpenCode数据泄露波及1.4%的Console用户，API密钥外泄

OpenCode称，攻击者入侵了一套旧系统，导致其在线平台OpenCode Console的1.4%用户的API密钥外泄。一些用户报告称，自己的OpenAI、Anthropic和Google AI账户出现未经授权的扣费，账单金额达数百美元，少数情况下甚至超过$1,000。

公司表示，已向所有受影响用户发送邮件，提醒他们直接在各服务提供商处撤销并更换密钥。Anthropic和Google封锁了他们认为已泄露的密钥。OpenAI与OpenCode合作恢复访问，并为攻击中被使用的额度向客户退款；OpenCode称退款工作正在进行。

泄露事件仅涉及Console

OpenCode联合创始人Dax Raad表示，开源应用和命令行工具未受影响。泄露的密钥存放在Console中，部分用户曾将密钥保存在工作区。OpenCode尚未说明攻击者如何侵入这套旧系统、密钥如何存储，也未披露密钥被使用的全部情况。公司称，事件仍在调查中。

OpenCode将此次事件描述为一次大规模“蒸馏攻击”——利用一个模型的输出帮助训练另一个模型。但公司没有说明这一过程是如何实施的，一些观察人士也质疑泄露事件与蒸馏之间的联系是否已经得到证实。

安全过滤机制令应对更复杂

Raad表示，攻击者持续尝试入侵OpenCode的系统；团队用于检查可疑代码的模型在触发安全过滤机制后，开始拒绝相关请求。他说，团队获准使用OpenAI的Daybreak Blue项目后，调查工作有所改善。该项目面向经过审核的用户，提供较少拒绝防御性安全工作的模型。

这一事件让人想起Hugging Face在7月一次入侵事件后提到的问题：安全系统可能会阻止防御人员分析攻击者使用的同一段恶意代码。这并不能证明安全过滤机制导致了此次泄露，但说明模型限制可能令安全事件响应变得复杂。OpenCode尚未披露攻击者如何入侵，也未说明未经授权的使用规模。