OpenCode旧系统泄露密钥，用户遭遇最高1700美元盗刷

近日，多名开发者发现，自己在深夜并未运行高并发任务，绑定大模型服务的账户却持续消耗Token。有人损失约400美元，有人的单日账单超过1700美元；异常调用还导致部分生产云账号触发反欺诈机制并被暂停。事故随后在Reddit、X和Hacker News等社区扩散，矛头指向GitHub标星超过21万的开源AI编程工具OpenCode。

OpenCode承认，一套正在停用的旧系统遭到未授权访问，约1.4%的Console用户受到影响，保存在其中的Anthropic、OpenAI、Google以及DeepSeek、智谱等第三方API密钥可能泄露。部分密钥已被相关模型服务商紧急撤销。与完全在本地运行不同，OpenCode Console允许用户把密钥托管到云端，以便跨设备同步、统一调用或进行团队协作。

受害者反馈显示，一名用户的Anthropic账户在数小时内被调用约400美元，攻击者高频请求Claude 3.5 Sonnet等模型；另一名OpenAI用户单日支出超过700美元。Google Cloud用户的Vertex AI凭证则在数小时内产生逾1000美元费用，耗尽预付配额后触发风控，连带其生产工程账号停摆，另有用户损失超过1700美元。

这些用户称，自己没有把密钥提交到公开代码仓库，也没有运行可疑脚本，交集在于都曾将凭证托管到OpenCode Console。API密钥本质上是付费模型服务的消费凭证；如果缺少来源限制、额度控制和消费告警，攻击者只需取得密钥字符串，就能绕过原平台直接向模型厂商发起请求。

OpenCode在通报中把事件描述为针对前沿模型的“大规模模型蒸馏攻击”，并向受影响用户发出警报。但多名算法工程师和安全从业者对此表示质疑：工业级蒸馏需要稳定、持续且结构化地获取数百万乃至上千万组高质量数据，而个人账户额度零散，往往几百至一千美元就会因余额、信用额度或人工干预而失效。无论密钥最终被用于蒸馏、垃圾内容生成、自动化攻击还是转售，事件本质仍是凭证失窃。

进一步披露的信息显示，攻击入口并非高深的零日漏洞，而是一套处于下线流程中的遗留系统。该系统仍暴露在公网，并保留了读取生产环境Secrets数据库的高权限通道，数据库中存有明文或弱加密的API密钥，暴露出系统下线、权限隔离和密钥轮换方面的严重缺陷。

10月18日，联合创始人Dax Raad表示，攻击者在此前48小时持续尝试入侵，团队不得不连夜调查和加固系统。他还称，用于分析日志与攻击代码的前沿模型因触发网络安全限制而中途拒答，直到获得OpenAI Daybreak Blue的访问权限后，排查才有所改善；其个人账号也遭到攻击。

这一困境与今年7月Hugging Face披露的AI Agent入侵事件相似：安全团队在分析超过1.7万条攻击记录时，也多次受到模型安全拦截，最终借助开源模型GLM 5.2完成日志逆向。两起事件都显示，AI驱动攻击正在延长攻防持续时间，而平台仍需补足遗留系统隔离、最小权限、密钥加密轮换及异常消费监控等基础安全措施。

OpenAI账户的异常支出一度超过700美元。

另一名受影响用户的控制台显示，其月度配额已被全部消耗。