OpenCode Console 泄露事件：1.4% 用户的 API key 疑遭窃，“蒸馏攻击”烧的是你的账单

10 月 17 日这个周六，AI 编程圈过得不太平。开源 coding agent OpenCode 在它的官方 X 账号上承认：前一晚发生了一起安全事件，与"大规模蒸馏攻击"有关，约 1.4% 的 OpenCode Console 用户的第三方模型 API key"可能已经暴露"。这些 key 直连的是 OpenAI、Anthropic、Google 等厂商的计费账户——换句话说，攻击者拿到之后烧的不是 OpenCode 的钱，是你的钱。

这不是演习。事件公开之前，已经有用户在 X 上晒账单：有人一夜之间 OpenAI key 被刷掉 281 美元、Anthropic key 被刷掉 168 美元；有人损失 1700 美元；还有人的 OpenAI 账户直接被封。OpenCode 联合创始人 Dax Raad 自己也在 X 上说："my personal accounts are being attacked now too"（我的个人账号现在也在被攻击）。

如果你用 OpenCode 接过自己的 provider key，这篇文章告诉你发生了什么、为什么"蒸馏攻击"盯上了你的 key，以及现在必须做的四件事。

一、48 小时还原：从异常扣费到官方承认

先把时间线摆齐（以下均为美国东部时间）：

10 月 16 日深夜，攻击者拿到了 OpenCode 一个"legacy system"（旧系统）的未授权访问权限。OpenCode 在邮件里说，这个系统"我们当时正在走下线流程"——也就是说，它是一个本该退役、但还没退干净的系统，里面还躺着用户存在 workspace 里的第三方 provider key。

10 月 17 日凌晨，异常出现了。用户 Colin Parsons 在 X 上发帖（当时 OpenCode 还没公开任何消息）：他的 OpenAI key 从凌晨 2 点开始被"pounded"（狂刷），产生了 281 美元用量；Anthropic key 被刷 168 美元。他强调：这两个 key 只在 OpenCode 里用过。随后 Preston Zeller 报出 1700 美元损失，Francisco Giancarelli 称"在拔掉之前看到了 700 多美元的 OpenAI 用量"，Alejandro García Iglesias 则说 API 额度被盗不说，OpenAI 账户还被 suspend 了。The Latent 特别注明：这些用户自报数字它无法独立核实——但多起独立报告指向同一个模式，可信度不低。

10 月 17 日上午，受影响用户收到 OpenCode 的邮件，主题是 "Action Required: Potential provider key breach"（需要行动：provider key 可能泄露）。邮件正文被安全记者 Matt Johansen 公开在 X 上，关键句是：有人获得了"对一个我们正在走下线流程的旧系统的未授权访问"，"你 workspace 里保存的 key 可能已经暴露"。官方要求用户去各家 provider 的 dashboard 撤销 key，并盯紧账户有无异常用量。

10 月 17 日下午，OpenCode 官方 X 账号公开承认："We had a security breach last night related to a large scale distillation attack that impacted 1.4% of OpenCode Console users"（昨晚发生了一起与大规模蒸馏攻击有关的安全事件，影响了 1.4% 的 OpenCode Console 用户）。官方称已邮件通知全部受影响用户，"没收到邮件就说明你没被影响"；事件仍在调查中，暂时不能透露更多细节，目前正与 Anthropic、OpenAI、Google 联合修复。

10 月 17 日晚间，两个值得注意的回应出现了。OpenCode 联合创始人 Dax Raad 在 X 上说自己的个人账号也在被攻击，并感慨 "whole new world with ai powered hacking"（AI 驱动的黑客攻击，全新的世界）。Anthropic 这边，在 Claude Code 团队工作的 Lydia Hallie 表示，Anthropic 已经撤销了它认为受影响的 Claude API key。Raad 随即澄清了一个关键边界：这次泄露的是 OpenCode Console，不是 OpenCode agent 本体——"keys used in the agent never reach the company"（在 agent 里用的 key 从不到达公司服务器）。

二、"蒸馏攻击"到底在偷什么

Distillation（蒸馏/蒸馏训练）在 AI 圈是个标准术语：用一个强模型的输出去训练另一个模型，相当于"偷师"。OpenCode 把这次事件定性为 "large scale distillation attack"，逻辑链条是这样的：攻击者拿到用户的 provider key → 用这些 key 去高频调用 OpenAI、Anthropic、Google 的旗舰模型 → 把返回结果攒下来喂给自己的模型训练。

但这里有个官方没解释清楚的断点：OpenCode 没有说明它是怎么把"key 泄露"和"蒸馏攻击"关联起来的。是攻击者在入侵时顺手声明了目的？还是 OpenCode 在流量里看到了典型的蒸馏模式（高频、批量、覆盖多任务的查询）？The Latent 的报道也点了这一点：OpenCode did not explain how it linked the leaked keys to the "large scale distillation attack." 在官方披露更多技术细节之前，"蒸馏攻击"这个定性先打个问号——它可能是准确的攻击画像，也可能是一种把事件往"行业共性问题"上靠的叙事选择。

为什么这个定性重要？因为它决定了你要防的是什么。如果攻击目标真是蒸馏，那么被盗 key 的价值不在于"冒充你发几条消息"，而在于持续、大规模地调用顶级模型——这正是账单爆炸的原因：蒸馏需要海量 query，每一 query 都在烧你的钱。Colin Parsons 的 key 从凌晨 2 点被刷到早上，281 美元就是这么来的。

更大的背景是，蒸馏攻防战这个月已经白热化。10 月 13 日 Anthropic 刚升级了反蒸馏防线，称拦截量下降 90~99%、封了数万个账号，还点名了 Z.ai（本站 10 月 14 日已报道）。9 月美国官方机构指控包括 DeepSeek、月之暗面在内的六家中国公司从美国模型中抽取了数十亿 token 用于训练自家模型。OpenAI 也说过，一个与 Moonshot 关联的团伙曾试图抽取它的推理 trace，7 月被关停。OpenCode 这次事件，是这场战争第一次烧到终端开发者的钱包上——以前是实验室之间斗法，现在是你的 API 账单在流血。

三、Console 和 agent：一字之差，天壤之别

Dax Raad 的澄清值得单独拎出来，因为它决定了"谁该慌"。

OpenCode 有两层：开源的 agent 本体（跑在你自己的终端、编辑器、桌面应用里，key 只存在你本地）和 Console（官方托管层，团队可以共享模型、设预算、接自己的 provider 账号——key 存在 OpenCode 的服务器上）。这次泄露的是后者。Raad 的原话是：keys used in the agent never reach the company。

所以自查很简单：如果你只在本地 agent 里填过 key，没开过 Console、没把 key 同步到 workspace，那你不在影响范围。 反过来，只要你在 Console 的 workspace 里连过外部 provider，哪怕只是试用，都去查一下有没有收到那封 "Action Required" 邮件。OpenCode 的口径是"没收到邮件 = 没被影响"，这个承诺写进了公开声明，可以作为判断依据——但别把它当保险：邮件可能进垃圾箱，provider dashboard 的用量记录才是硬证据。

这里有个更扎心的判断：任何替你保管 provider key 的 coding agent，本质上都是一个凭证存储（credential store），不管它在营销话术里怎么包装自己。 Console 这类"团队共享模型、统一设预算"的托管层，商业模式决定了它必须集中存 key；集中存 key 就意味着单点失守、批量泄露。这不是 OpenCode 一家的原罪，是所有"帮你管 key"的 agent 工具共有的结构性风险。选工具的时候，这个问题应该和"支持多少模型"放在同一个优先级上问。

四、现在必须做的四件事（按顺序）

安全公司 Cyera 在事件后给了一份清单，我结合官方口径整理成四步，按顺序做：

第一，撤销并重新签发所有在 Console 里连过的 key。直接去 OpenAI、Anthropic、Google 各家的 dashboard 操作，不要点邮件里的任何链接（邮件链接是钓鱼重灾区，这次事件后仿冒"OpenCode 安全通知"的钓鱼邮件几乎一定会出现）。

第二，把账单和用量日志往前翻到 10 月 17 日。非授权调用先出现在用量日志里，最后才出现在发票上。重点看 10 月 16 日深夜到 17 日全天的异常 spike。

第三，给每个 provider 账户设 spending limit（支出上限）。Cyera 的话很实在：如果之前就设了上限，这次损失的是 100 美元而不是 10000 美元。Anthropic、OpenAI 都支持按 key 或按组织设限，设一个你能接受的数字，key 泄露就从"灾难"降级为"事故"。

第四，更新所有用过旧 key 的 pipeline、CI 任务和本地配置。否则接下来一周你会在 401 报错里度过。尤其注意那些藏在 CI secret、Docker env、团队共享文档里的 key 副本。

另外，OpenCode 至今没有披露：受影响用户的确切数量（只给了 1.4% 这个比例）、攻击者是怎么进来的、key 是以什么形式存储的（明文？可逆加密？）、被盗 key 是否被实际使用、是否会赔偿用户损失。这些空白都要等调查进展。作为用户，现阶段唯一能指望的就是自己手里的四件事。

五、给 vibe coder 的三个判断

第一，key 管理正在成为 vibe coding 的必修课，而不是可选项。以前大家觉得"我的 key 只在我的电脑上"，很安全；现在 agent 工具链越来越长：本地 agent → 云端 Console → 团队共享 → CI 集成，key 每多走一站，攻击面就多一层。这次事件之后，建议把 key 按" blast radius"（爆炸半径）分级：给实验性工具的 key 单独开、额度设低、定期轮换；生产 key 只进你信任的最小集合。

第二，关注"蒸馏经济"这个新变量。以前 key 泄露的典型剧本是挖矿、发垃圾邮件；现在多了一个：你的 key 是别人训练模型的"免费算力+免费数据"。这意味着 key 的黑市价值变了——顶级模型的 key 比以前更值钱，针对开发者的定向窃取只会更多。Anthropic 10 月 13 日的反蒸馏升级和这次事件是同一枚硬币的两面。

第三，选 agent 工具时多问一句：我的 key 到底存在哪？本地优先、开源可审计、支持你自带密钥管理（比如对接你自己的 vault 而不是存在厂商服务器上），这些特性在以前是"加分项"，现在是"必答题"。Raad 那句 "keys used in the agent never reach the company" 其实给所有 agent 厂商划了一条线：做不到这一点的托管功能，每一个都是潜在的 OpenCode Console。

事件还在调查中，OpenCode 承诺会持续更新。我们会跟进官方披露的后续进展——特别是攻击手法和 key 存储方式这两个关键空白。有新消息会第一时间更新。