AI编程工具OpenCode遭黑客入侵，用户API密钥被盗刷数百至数千美元

OpenCode是一款在开发者社区中快速崛起的开源AI编程助手，被视为Claude Code和Cursor的有力替代品。当地时间10月18日夜间，攻击者入侵了OpenCode旗下云端平台OpenCode Console的一套旧版系统，成功窃取部分用户存储于工作区的API密钥。OpenCode随即在X平台发文确认，此次安全事件与一场大规模「蒸馏攻击」有关，受影响用户占Console总用户数的1.4%，公司已于次日清晨通过邮件逐一通知。

被盗密钥随即被用于大量调用AI服务，多名用户在Reddit和X上发帖反映，OpenAI、Anthropic和Google的消费预警在深夜接连触发，单个账户的未授权费用从数百美元到逾千美元不等。对此，Anthropic和Google迅速封锁了被认定为泄露的API密钥；OpenAI则与OpenCode合作，为受影响的API用户恢复访问权限并退还被消耗的额度。OpenCode联合创始人Dax Raad强调，此次泄露仅限于Console平台，开源应用本体及命令行工具均未受波及，因为这些渠道的密钥从不经过OpenCode服务器。

在应对攻击的过程中，OpenCode团队遭遇了一道意想不到的障碍。Raad透露，攻击者持续对其系统发起冲击长达48小时，团队不得不全天候运行AI防御代理。然而，当他们调用AI模型分析恶意代码时，模型因检测到有害内容而触发安全过滤器，拒绝继续执行分析任务。Raad坦言这一情况「令人沮丧」。此后，OpenCode获得了OpenAI旗下Daybreak Blue计划的访问权限——该计划面向经过审核的用户开放，提供在安全审查方面限制较少的模型，这才使团队得以推进调查。

这并非AI安全护栏首次在防御场景中「误伤」己方。今年7月，AI平台Hugging Face在处理一起由自主AI代理发起的入侵事件时，同样遭遇商业AI模型拒绝分析活动日志的困境。Hugging Face在事后博文中将此归结为「不对称问题」，指出护栏「无法区分事件响应者与攻击者」。美国总统科技顾问委员会联席主席David Sacks也在X上就此次OpenCode事件发声，直言「护栏产生了反效果」，并呼吁正视前沿模型在网络安全防御场景中的适用性问题。

此次事件发生的时间节点颇为微妙——就在同一夜晚，OpenCode刚刚宣布向用户免费开放GLM-5.3-Flash模型。GLM-5.3系列因其网络安全能力接近Anthropic Claude Mythos Preview等受限访问模型的水平，近期已引发开放权重模型研究者的广泛关注。部分观察人士指出，泄露的API密钥可能被用于在受限地区获取高质量模型输出，以支撑模型蒸馏流程，但也有声音认为这一说法尚缺乏充分证据。目前，OpenCode尚未披露攻击者如何进入旧版系统、密钥的具体存储方式以及滥用的完整规模，事件调查仍在进行中。

此次OpenCode事件是近期AI驱动网络攻击浪潮的缩影。本月早些时候，网络安全公司CrowdStrike披露，一名疑似中国背景的黑客利用AI渗透测试代理及Claude对韩国银行发动攻击；上周，印度网络安全机构也发出警告，称包括部分AI公司测试中的AI代理在内，已有未经授权访问印度机构系统的案例。随着AI工具在攻防两端的能力同步提升，如何在安全护栏与防御效能之间寻求平衡，正成为整个行业亟待解决的课题。

要点

• OpenCode Console平台遭入侵，1.4%用户的API密钥外泄，多人账户产生数百至逾千美元未授权费用，OpenAI已协助退款，Anthropic和Google已封锁涉事密钥。
• 防御过程中，AI模型因安全过滤器拒绝分析恶意代码，暴露出护栏在攻防不对称场景下无法区分攻击者与防御者的结构性缺陷。
• OpenCode后续获得OpenAI Daybreak Blue计划访问权限，该计划为经审核的安全研究用途提供限制较少的模型，一定程度上缓解了防御困境。
• Hugging Face、OpenCode等多起事件表明，AI安全护栏的「误伤」问题已引发政策层面关注，美国总统科技顾问委员会联席主席已公开表态。
• 此次事件仅波及OpenCode Console云端平台，开源本体及命令行工具未受影响，受影响用户应立即向各AI服务商撤销并更换API密钥。