OpenCode Console 的密钥泄露了：1.4% 用户中招，有人一晚被刷 1700 美元
OpenCode 这次出的事，值得每个把 API key 交给第三方工具托管的人看一遍。
10 月 17 日，OpenCode 确认在前一晚遭到入侵，受影响的是它的 Console 服务——这个功能让团队把 OpenAI、Anthropic、Google 的密钥集中存进工作区，由 Console 代为调用，成员不用各拿一把 key。官方的说法是”与一次大规模蒸馏攻击有关，影响 1.4% 的 Console 用户”，并说明收到邮件的才算受影响，是”绑定过外部服务供应商的那部分用户”。
给用户的邮件里写得更直接：公司发现”一套正在停用流程中的旧系统遭到未授权访问”，“保存在你工作区里的第三方密钥（例如 OpenAI、Anthropic）可能已经外泄”。最早可能的暴露时间是 2026 年 10 月 17 日 00:30 UTC。
OpenCode 在 GitHub 上有 21.7 万 star，创始人 2026 年 7 月接受 Y Combinator 访谈时给出的量级是月活约 1300 万、周活 460 万。1.4% 的 Console 用户，落到一个具体的人身上就是几百到 1700 美元。
攻击者要的不是钱，是输出
这一点最反直觉，也最该记住。蒸馏本身是个正常技术——用强模型的输出去训练小模型。它变成攻击，是因为规模：拿到别人账号里的大模型额度，就能低成本地批量产出高质量输出，喂给自己的模型。
所以受害者的账单是副产品，不是目的。这意味着两件事：第一，攻击会一直跑到你把 key 废掉为止，不会”刷够就走”；第二，被刷的模型往往是你账户里最贵、能力最强的那个，因为蒸馏要的就是那个质量。
OpenCode 联合创始人 Dax Raad 说攻击者连续 48 小时尝试入侵，团队需要全天候运行防御 agent。还有个细节挺黑色幽默：他们用来分析恶意代码的模型，因为自身的安全过滤拒绝工作，最后是拿到 OpenAI Daybreak 计划的权限、换用限制更少的模型才把分析跑完。
现在就做的九步
下面是软件供应链安全公司 Safeguard 给的处置顺序，我按能直接执行的顺序重排了一遍。顺序本身是有意义的，别跳步：
- 搜收件箱，主题是 “Action Required: Potential provider key breach”。收到了就按邮件做；没收到也建议过一遍自己的 key。
- 列出所有曾经存进 OpenCode Console 工作区的 OpenAI、Anthropic、Google key，包括别人作为工作区管理员加进去的那些。
- 从 10 月 16 日起（能往前就往前）查每一家的用量和账单，找异常的用量尖峰、没见过的模型、解释不通的扣费。
- 先生成新 key，再吊销旧的。新 key 按项目或工作区单独开，配上用途限制和消费上限。
- 吊销旧 key。不要因为”它还没出现可疑用量”就觉得它安全。
- 把所有用到旧 key 的地方换掉：CI/CD 的 secrets、环境变量文件、本地 agent 配置、生产应用、团队成员的机器。
- 验证旧 key 真的失效了——拿它去打一下接口，确认返回的是认证错误而不是成功。
- 加限制：key 只绑需要的项目和接口，设消费上限和预算告警，复查工作区的访问权限。
- 如果你还要继续用 Console，给它一把专用的受限 key，别再拿生产 key 去填。
OpenAI 表示已与 OpenCode 合作恢复访问，并退还攻击期间消耗的额度；Anthropic 和 Google 封停了它们判定为已暴露的 key。退款”正在进行中”，这句话本身就说明损失是真实发生的。
泼冷水
“1.4%“这个数字容易让人松口气，但它算的是 Console 用户，不是”把 key 交给别人托管”这件事的风险。真正的教训在结构上：你把密钥交给任何一个云端服务代管，你的账单上限就不再由你控制了。对方的系统里有几套”正在停用的旧系统”，你永远不知道。
还有一个更现实的问题：这类攻击的成本极低、收益极高，而受害者的追偿成本很高。它能重复发生，就会重复发生。
具体建议
- 今天就把你所有主力 key 的创建日期和最后轮换日期记下来。超过 90 天没动过的，排进这周的轮换计划。
- 给每一把 key 设消费上限。这一条能直接把”1700 美元”变成”上限那么多”，是所有措施里性价比最高的一个。
- 重新审视一下你有几个工具在代管你的 key。每多一个，你的攻击面就多一块，而这个风险平时是看不见的——直到它变成账单。
原文：https://www.infosecurity-magazine.com/news/opencode-breach-openai-anthropic/