開源 AI 編程工具 OpenCode 遭入侵，約 1.4% 用戶受影響

ChainCatcher 消息，網易號《DeepTech深科技》報導，開源 AI 編程工具 OpenCode 官方確認遭遇入侵，約 1.4% 的 OpenCode Console 用戶受影響，部分保存在平台上的模型 API 密鑰可能洩露。多名開發者稱用於調用 OpenAI、Anthropic 等模型的賬戶出現異常費用，有人報告損失數百美元，有人稱超過 1700 美元。官方稱事件與一場大規模蒸餾攻擊有關，並正與 OpenAI、Anthropic、Google 共同處理。

OpenCode 由 Anomaly 團隊相關人員開發，主要創建者之一為 Dax Raad，團隊此前有 SST、OpenNext 等項目。除本地程序外，其雲端服務 Console 可將 OpenAI、Anthropic、Google 等廠商的 API 密鑰集中保存在工作區並代為調用，事故發生在這項雲端服務上。通知郵件稱，攻擊者未經授權訪問一套正在停用的舊系統，部分 Console 工作區中的第三方模型 API 密鑰可能暴露。開發者 Colin Parsons 稱 OpenAI 賬戶約 281 美元、Anthropic 賬戶約 168 美元出現異常費用，Preston Zeller 稱損失約 1700 美元。另有用戶報告 Anthropic 約 400 美元異常費用，以及 Google 服務因異常使用觸發賬戶限制。

OpenCode 已通知受影響用戶撤銷並更換密鑰、檢查近期調用記錄。Anthropic Claude Code 團隊成員 Lydia Hallie 表示，Anthropic 已與 OpenCode 合作，並撤銷被認為受影響的 Claude API 密鑰。OpenAI 團隊成員 Tibo 表示，正與 OpenCode 合作幫助受影響 API 用戶恢復使用，並退還攻擊期間被異常消耗的相關額度。Dax Raad 澄清，受影響的是 OpenCode Console，不是本地運行的 OpenCode，用戶直接在本地工具中配置的密鑰不會傳到 OpenCode 伺服器。10 月 18 日，他在社交平台稱攻擊者在過去 48 小時持續嘗試入侵，團隊正在加強防護。