OpenCode 遭黑客攻击：用户凭证大规模泄露

10 月 17 日，开源编码工具 OpenCode 在 X 上发了一条简短的公告：昨夜发生安全事件，一场”大规模蒸馏攻击”波及了 1.4% 的 OpenCode Console 用户。官方声明措辞克制，只说事件仍在处理中，正与 Anthropic、OpenAI 和 Google 三家模型厂商联合修复。但这条推文在 Hacker News 上炸了——679 分登顶当日热榜，评论区吵了上百条。

泄露的不是代码，是你钱包的钥匙

OpenCode 团队随后在 HN 评论区补充了细节：攻击者入侵的是一个”正在退役过程中的遗留系统”，存放在用户工作区里的第三方模型 API key——OpenAI、Anthropic 这些——可能已经暴露。官方建议所有用户去对应厂商的控制台吊销并更换密钥，检查近期用量有没有异常。

换句话说，泄露的不是你的代码，也不是聊天记录，而是直接挂在账单上的 API 密钥。有用户在推文下留言”138 美元没了，会赔偿吗？”——没人回答。这类攻击的经济逻辑很直白：黑客拿着泄露的 key 调用模型 API，账单记在受害者头上。HN 用户 tonymet 的推测得到了不少认同：攻击者可能用这些 key 批量生成模型输出，拿去训练自己的模型——这就是”蒸馏攻击”名字的由来；也可能只是更朴素的套利，转卖 API 额度。

图 1

名字的游戏：Console 不是那个 CLI

评论区吵得最凶的其实不是攻击本身，而是”我到底受没受影响”。有用户澄清：泄露发生在 “OpenCode Console”——一个类似 OpenRouter 的模型网关服务——和大多数人天天用的 OpenCode CLI 编码智能体是两个东西。用 CLI 的用户大概率不在受影响名单里。

但官方公告完全没做这个区分，Console 又几乎没有公开文档，于是恐慌沿着品牌名扩散开来。HN 用户的批评很尖锐：”官方泄露公告对这两个产品的区别只字未提，沟通做得很糟糕。”这其实暴露了开源商业化的一个通病：一个名字下挂了太多东西，CLI、桌面端、云端 Console、订阅服务，用户根本分不清自己的数据存在哪个系统里。

信任的账，早就算过了

更耐人寻味的是评论区的”我早说过”氛围。有用户翻出 68 天前的旧帖：当时就警告 OpenCode 会把数据转发给第三方处理（OpenRouter、Cloudflare），而作者的回应”轻描淡写，显得对安全问题缺乏兴趣”。这次事件后，那位用户说自己”早就因为安全原因搬家了”。

这值得所有用编码智能体的开发者想一想。我们习惯把 OpenCode 这类开源工具归入”隐私友好”阵营——代码公开、本地运行、随时可审计。但一旦你用了它配套的云服务存 API key、走它的网关转发请求，信任模型就变了：安全边界不再取决于开源代码写得多干净，而取决于那个”正在退役的遗留系统”有没有人打补丁。推测起来，这次攻击者挑中旧系统而非核心服务，恰恰说明新系统的防护没被绕过——坏就坏在没人记得角落里有扇没锁的门。

开发者该带走的三条教训

第一，API key 的爆炸半径比你想象的大。一把 OpenAI key 泄露，损失不只是余额，还可能被拿去喂对手的模型——你的私有代码作为 prompt 发出去，输出就成了别人训练集的一部分。第二，”开源”不等于”安全”，审计代码容易，审计运维难。第三，如果你在用任何工具的云服务，去厂商控制台看看最近 30 天的用量曲线，异常流量往往比官方公告来得更早。

核心观点：如果你的 API key 存在任何第三方工具的服务端，现在就去吊销重来一遍——这次是 OpenCode Console，下次可能是你正在用的任何一个”顺手存上去”的服务。顺手存 key 的习惯，才是这场攻击真正的靶子。