开源编码工具 OpenCode 近日向用户发出安全警告，提示其工作空间中存储的第三方 API 密钥可能已遭泄露。该公司通过电子邮件通知受影响用户，称系统曾遭受未经授权的访问，涉及包括 OpenAI 和 Anthropic 在内的多家人工智能提供商的密钥。
由于这些 API 密钥直接关联用户的计费账户，一旦泄露，攻击者即可利用受害者的额度进行请求操作。目前已有不少用户在社交媒体及论坛上反馈了由此产生的经济损失。据 Reddit 社区报告，一位用户的 Anthropic 账户因未经授权的使用产生了高达 400 美元的费用；另一位用户则表示其 Google 服务产生了约 200 欧元的额外支出，且项目因过度滥用而被暂停。此外，也有评论员声称收到了来自 OpenAI 和 Anthropic 的异常使用警报。
除了资金损失，此次事件还导致部分用户无法正常访问 OpenCode 服务。有用户反映，其 OpenCode 服务 API 密钥已过期，且在尝试通过 Google 或 GitHub 进行社交登录时遭遇失败，无法启动认证流程。
OpenCode 官方已确认存在安全漏洞，并指出约 1.4% 的控制台用户受到影响。公司澄清，受影响的账户仅限于那些与外部 AI 提供商建立连接的子集。所有相关用户均已收到邮件通知，未收到此类邮件的用户则不在影响范围内。
在技术归因上，OpenCode 将此事件与“大规模蒸馏”（mass distillation）攻击联系起来。这是一种通过收集现有 AI 模型的响应数据来训练其他模型的技术手段。目前，该事件仍在处理中，OpenCode 正与 Anthropic、OpenAI 和 Google 等合作伙伴协同调查。
针对受影响用户，OpenCode 建议立即采取以下措施：撤销并更换在各服务提供商处的 API 密钥，更新应用程序以使用新密钥，并仔细检查近期的账单和使用记录，以识别任何意外活动。
