Today for AI
返回热点榜
tools热度 0.0°

AI 聚合热点事件 · 2026/10/18

OpenCode 密钥泄露致 API 盗刷，官方归因蒸馏攻击遭质疑

5 篇收录报道0 家独立信源交叉印证持续跟踪至 2026/10/20 03:28:34
全景综述与最新动态

开源 AI 编程工具 OpenCode 近日披露其旧系统遭受未授权访问，导致约 1.4% 用户的 API 密钥明文泄露。这一安全事件直接引发了大规模恶意调用与账单盗刷，部分用户单日损失高达 1700 美元，涉及 Anthropic、OpenAI 及 Google 等主流模型服务商。

尽管 OpenCode 官方将事故定性为“模型蒸馏攻击”，但社区多方信源指出，根本原因在于基础安全架构的严重缺失。受影响系统存在明文存储密钥且缺乏轮换机制等低级漏洞，使得攻击者能轻易绕过配额限制进行高频滥用。云厂商虽已紧急介入撤销密钥并启动退款流程，但风控响应的滞后性暴露了供应链安全的脆弱环节。

此次事件不仅造成用户直接经济损失，更深刻警示了 AI 应用生态的安全隐患。它凸显了在自动化网络攻击背景下，缺乏严格访问控制的 AI 代理极易成为攻击跳板。行业亟需建立更完善的密钥管理标准与实时风控体系，以防范此类由基础设施缺陷引发的连锁反应。

最新动向/OpenCode 正联合 Anthropic、OpenAI 和 Google 持续进行技术排查与补救，重点在于撤销泄露密钥并处理用户退款。然而，由于官方对“蒸馏攻击”定性的解释缺乏透明度，且未公开具体技术细节，开发者社区对其安全能力的信任度仍面临严峻挑战，事件后续影响仍在发酵中。

报道时间线

共 5 篇 · 最新优先
  1. TechCrunch AIT2·78 分

    OpenCode 遭黑客攻击 API 密钥泄露致用户账单激增

    原标题：Hackers hit AI coding tool OpenCode, running up charges on users’ AI accounts

    • OpenCode 控制台发生安全漏洞，影响约 1.4% 的用户，主要涉及存储的 AI 服务 API 密钥泄露。
    • 攻击被描述为“大规模蒸馏攻击”，利用泄露的密钥生成大量输出以训练或复制模型能力。
    • 事件凸显了未经验证的 AI 模型访问权限难以防御由 AI 驱动的大规模自动化网络攻击。
  2. InfoQ 中文T2·78 分

    OpenCode 密钥泄露致 API 盗刷，官方归因蒸馏攻击遭质疑

    原标题：大批API账户被刷爆！OpenCode遭黑客围攻48小时，官方甩锅“蒸馏攻击”被质疑

    • OpenCode 停用旧系统存在明文存储密钥且无轮换机制的安全缺陷，导致 1.4% 用户受影响。
    • 攻击者利用泄露密钥绕过配额限制进行高频调用，造成用户单日最高超 1700 美元损失。
    • 云厂商（Anthropic/OpenAI/Google）已启动退款与密钥撤销流程，但风控响应存在滞后。
  3. IT之家 · 智能时代T2·68 分

    OpenCode 遭攻击致 API 密钥泄露，用户面临盗刷风险

    原标题：OpenCode 遭攻击：部分用户 OpenAI、Anthropic 等 API 密钥外泄

    • OpenCode 确认发生安全事件，影响约 1.4% 的用户，主要涉及存储在用户工作区中的外部 API 密钥泄露。
    • 攻击者通过未经授权访问正在停用的旧系统获取密钥，并利用其发起恶意请求，导致用户遭受非预期的高额扣费（如 Anthropic 账户被盗刷 400 美元）。
    • 部分用户在收到官方通知前已通过 OpenAI 和 Anthropic 的服务提醒发现异常，显示供应链安全事件的滞后性风险。
  4. OpenCode (@opencode)T2·68 分

    OpenCode 遭大规模蒸馏攻击，1.4% 用户受影响

    原标题：We had a security breach last night related to a large scale distillation attack that impacted 1.4% ...

    • OpenCode 确认发生针对其 Console 的大规模蒸馏攻击，影响面为 1.4% 的用户。
    • 受影响的子集主要是那些在 OpenCode 中绑定了外部模型提供商账户的用户。
    • 事件仍在处理中，OpenCode 正联合 Anthropic、OpenAI 和 Google 共同进行补救。