OpenCode 遭蒸馏攻击致 API 密钥泄露，约 1.4% 用户受影响

10 月 18 日，AI 编程工具 OpenCode 官方披露前一晚发生一起与「大规模模型蒸馏攻击」相关的安全泄露事件，约 1.4% 的 OpenCode Console 用户受影响，官方当天上午已通过邮件逐一通知受影响者。受影响的是绑定了外部服务商账号的用户子集，OpenCode 正与 Anthropic 等相关方协作处理，事件仍在调查中。所有曾在 OpenCode 中保存第三方密钥的用户应立即撤销并轮换。

已确认

• 攻击者未经授权访问了一个正在退役的旧系统，用户工作区中保存的第三方 API key（如 OpenAI、Anthropic）可能已泄露（@jedisct1 转述官方通知）。
• 已有用户报告密钥被盗用并产生实际消费，其中一人在 Anthropic 账户上被盗刷 400 美元（@kimmonismus）。
• 官方确认事件并要求用户撤销密钥；泄露发生在添加 API key 或 provider 进行 LLM 认证的环节（@pjausovec）。
• Reddit 用户 chemistslime 发帖「Opencode breached」，呼吁社区立即轮换 API key，与 r/opencode 的爆料帖相互印证（@chemistslime）。
• @pjausovec 提到缓解方案：若通过 AI Gateway 等间接方式认证，可降低密钥直接泄露风险。

尚未确认

• 「大规模蒸馏攻击」的具体手法、入口细节及攻击者身份尚未披露，事件仍在处理中，细节陆续公布。

为什么重要

• API key 一旦泄露可直接产生经济损害，已有 400 美元级别的实际盗刷案例，所有在 OpenCode 中保存过第三方密钥的用户都应立即撤销并轮换。
• 事件暴露了 AI 编码工具集中保存用户 LLM 凭据的安全风险，经由网关等间接认证的方式重新受到关注。

2026-10-18 ~ 2026-10-18 · 7 条相关

• OpenCode 确认遭入侵，用户 API key 被盗且已产生消费 — jedisct1 · 2026-10-18
• OpenCode 遭攻击致 API Key 被窃,用户被要求立即撤销密钥 — pjausovec · 2026-10-18
• OpenCode 遭大规模蒸馏攻击，1.4% 用户受影响的安全泄露 — TheZachMueller · 2026-10-18
• Reddit 用户警告 OpenCode 疑遭入侵,呼吁立即轮换 API 密钥 — chemist_slime · 2026-10-18

另有 3 条近重复转述:thedealdirector · kimmonismus · kimmonismus