OpenCode 遭入侵致 1.4% 用戶 API 密鑰外洩遭盜刷，官方歸咎「模型蒸餾」引發社群質疑

開源 AI 程式碼工具 OpenCode 傳出資安漏洞，官方證實一套正在停用的舊系統遭未授權存取，波及約 1.4% 的 OpenCode Console 雲端用戶，導致託管於其中的第三方模型 API 密鑰外洩。多名受害開發者回報，其 Anthropic、OpenAI 與 Google Cloud 等帳戶遭高頻呼叫盜刷，單日損失從 400 美元、700 美元至最高逾 1,700 美元不等，甚至有用戶因短期產生逾 1,000 美元異常費用而觸發 Google 詐欺風控，導致生產環境工程帳號遭系統停擺。 OpenCode 官方在警報通報中將事件定調為「大規模模型蒸餾攻擊」，但該說法引發技術社群與資安專家強烈質疑。多位工程師指出，工業級模型蒸餾需要長期穩定的資料管線，隨時會因餘額耗盡或手動停用而失效的碎片化個人金鑰難以作為訓練基礎，事件本質屬於廢棄系統仍保有憑證資料庫權限所導致的憑證失竊。 OpenCode 聯合創辦人 Dax Raad 透露系統在 48 小時內持續遭到攻擊，排查期間前沿商業模型一度因日誌包含攻擊載荷觸發內建安全護欄而拒絕配合分析，直至取得 OpenAI Daybreak Blue 權限才得以推進。善後方面，部分受影響金鑰已遭緊急撤銷，OpenAI 安全團隊亦公開證實將全額退還受影響用戶在本次事件中遭異常扣除的點數與額度。