OpenCode 遭黑客攻击，用户被敦促撤销其 API 密钥

OpenCode 支持来自不同 AI 提供商的模型，允许开发者使用自己的 API 密钥来使用这款开源编程工具。如今，OpenCode 已向用户发送电子邮件，警告称保存在其工作区中的第三方密钥可能已在一次数据泄露事件中暴露。多名用户表示，他们在提供商处的账户已因未经授权的活动而被扣费。

在这封电子邮件中，OpenCode 表示，有人未经授权访问了一个正在停用的旧系统。该公司还警告称，存储在用户工作区中的 API 密钥可能已经泄露，其中包括 OpenAI 和 Anthropic 的密钥。这些密钥允许应用程序使用所连接的 AI 服务，因此，获取密钥的人可以发起请求，而费用则由账户持有人承担。

该 Reddit 帖子中有多起关于意外支出的报告。一名用户报告称，其 Anthropic 账户出现了 400 美元的未经授权扣费；另一名用户则表示，Google 使用费已达到约 200 欧元，其项目也因过度滥用而被暂停。一名评论者还表示，在 OpenCode 通知他们发生安全漏洞之前，他们就已收到 OpenAI 和 Anthropic 的用量提醒。

对一些用户来说，访问 OpenCode 也成了问题。他们表示，自己的 OpenCode 服务 API 密钥已过期，尝试通过 Google 或 GitHub 登录时则提示“无法启动社交账号登录”。一名用户尝试多次后终于成功登录并生成了替换密钥，另一名用户则表示，新密钥仍然无法使用。

OpenCode 已确认发生安全漏洞事件，并表示其 Console 用户中有 1.4% 受到影响。该公司称，受影响账户是已关联外部提供商的账户中的一部分。所有受影响用户均已收到电子邮件通知，OpenCode 表示，未收到通知的用户未受影响。该公司将此次安全漏洞事件与一场大规模蒸馏攻击联系起来，这种攻击通过收集 AI 模型的回答来训练另一个模型。OpenCode 表示，该事件仍在持续，公司正在与 Anthropic、OpenAI 和 Google 合作应对。受影响用户已被要求撤销并更换其提供商密钥，更新使用这些密钥的应用程序，并检查近期使用记录中是否存在异常活动。