OpenCode雲端遭入侵：第三方API密鈅疑洩露，用戶稱被釦400美元

BiRun 訊，AI 編程工具 OpenCode 披露安全事件，波及 1.4% 的 Console 用戶。受影響者均曾在雲端關聯第三方模型服務。用戶公開的通知顯示，一套正在停用的舊系統遭到未授權訪問，保存在工作區的 OpenAI、Anthropic 等 API 密鈅可能洩露。團隊已向受影響者發送郵件。

OpenCode 不僅提供本地編程工具，還有一套可選的雲端 Console 服務。用戶可以將自己的 API 密鈅交給 Console 託管，再由它代為調用模型。團隊成員也能共用這些模型，無需直接接觸原始密鈅。

攻擊者一旦拿到這些密鈅，就能繞過用戶登彔，直接調用付費模型，費用仍由原用戶承擔。Reddit 一名用戶稱，其 Anthropic 帳戶出現了 400 美元未經授權的調用費用。

OpenCode 將事件與「大規模模型蒸餾攻擊」聯系起來。蒸餾是批量收集一款模型的回答，再用這些數據訓練另一款模型。如果攻擊者盜用大量 API 密鈅，就可能借別人的帳戶收集訓練數據，把高昂的模型調用費用轉嫁給用戶。

OpenCode 正與 Anthropic、OpenAI 和 Google 處理事件。Anthropic 的 Lydia Hallie 表示，公司已撤銷認為可能受影響的 Claude API 密鈅。OpenCode 則要求受影響用戶到對應模型服務商後台撤銷並更換密鈅，檢査近期是否存在異常調用。

信源

動察 Beating 頻道 · 動察 Beating 交流羣。