OpenCode 舊系統遭入侵致 1.4% Console 用戶 API Key 外洩遭模型蒸餾，Anthropic 與 Google 封鎖金鑰、OpenAI 承諾退款

開源 AI 程式碼代理工具 OpenCode 證實，其一套逐步淘汰中的舊系統於 10 月 16 日晚間遭未授權存取，導致約 1.4% 的 OpenCode Console 用戶儲存在工作空間的第三方 AI 供應商 API Key 外洩，並遭攻擊者發動大規模 AI 模型蒸餾攻擊（Distillation Attack）。攻擊者疑似利用竊得的有效金鑰向高效能模型發送大量查詢以蒐集輸出資料，費用則由受害者承擔。社群已有用戶回報帳戶出現異常 API 請求與未授權費用，亦有用戶因 Google 偵測到異常活動而導致專案遭停用。 針對外洩事件，主要 AI 供應商已採取因應措施：Anthropic 與 Google 已封鎖疑似洩漏的 API 金鑰；OpenAI 則與 OpenCode 合作協助用戶恢復運作，並承諾退還攻擊期間產生的扣款費用。 OpenCode 說明，本次受影響範圍僅限於在 Console 集中管理外部供應商憑證的用戶。用戶若是在本機透過「/connect」指令將憑證存於「~/.local/share/opencode/auth.json」，目前沒有證據顯示受到波及。官方已向受影響用戶寄送通知，並呼籲管理員直接至原供應商控制台撤銷舊金鑰並重新建立，單純在 OpenCode Console 刪除並無法使原金鑰失效。