OpenCode凌晨爆雷：1.4%用户API Key被盗

时间：2026年10月18日（凌晨） 地点：全球（OpenCode Console） 人物：OpenCode 团队、攻击者、Anthropic/OpenAI/谷歌安全团队 事件详情：开源AI编程工具OpenCode于10月18日凌晨发布安全公告，承认公司云端Console遭大规模数据泄露，影响约1.4%用户。黑客攻入OpenCode一个原本"准备下线"的旧版后端系统，直接拿到开发者在工作区中保存的OpenAI、Anthropic、Google等"御三家"API密钥。拿到密钥后，攻击者在数小时窗口内，将账户内每一分额度全部用于刷顶级大模型的高质量token，用于蒸馏训练自有模型。多个受害者公开账单显示Anthropic账户被盗刷400至1700美元，部分Google Cloud账单突破1000美元。 背景：OpenCode是近期热度最高的开源AI编程代理之一，内置免费模型，并支持一键接入Claude、GPT、Gemini等顶级模型，深受全球独立开发者青睐。为降低使用门槛，OpenCode允许用户在云端Console保存第三方服务商API Key，这种"一站式"模式恰恰是本次漏洞的根源。 影响：OpenCode联合创始人Dax Raad本人在X平台承认其个人账号也未能幸免；Anthropic安全负责人Lydia Hallie紧急回应称已强制注销所有疑似泄露的Claude API密钥，并与OpenAI、谷歌联合"救火"。事件暴露第三方AI聚合平台的安全治理薄弱，为整个"AI工具中转站"行业敲响警钟。 总结：API密钥是AI时代开发者的第二张身份证，开发者应立即撤销泄露密钥、重配新Key并核查账单，而非仅改密码或本地删除配置。 参考来源： 1. https://finance.sina.com.cn/wm/2026-10-18/doc-inivqyim6114811.shtml 2. https://www.secrss.com/articles/94811 3. https://m.sohu.com/a/1089203340_473283 4. https://www.163.com/dy/article/L9HUA3J90556BO51.html 5. https://c.m.163.com/news/v/VD8JOD2U6.html 6. https://www.htx.com/zh-cn/news/claude-rebel-against-humanity-rewrites-its-own-constitution-lYqnB4Ur/