OpenCode 已停用的主控台外洩使用者 AI 供應商金鑰——而且部分帳單已經被花掉了

由 Anomaly（前身為 SST）打造的開源編碼代理 OpenCode 於 2026 年 10 月 17 日披露，未經授權的一方已接觸到 其正在逐步退役的舊版 Console 系統，且儲存在部分使用者工作區中的第三方 AI 供應商金鑰 「可能已經外洩」——其中包括 O​penAI、A​nthropic 與 G​oogle 的憑證。OpenCode 表示，此次外洩影響約 1.4% 的 Console 使用者，具體來說是「已連結外部供應商的一部分使用者」，並表示已寄送電子郵件給每個受影響帳戶。該公司將此事件形容為 「大規模蒸餾攻擊。」不到一天，具名使用者便向記者表示這些金鑰已被使用：Dealroom 報導，其中一名使用者的 O​penAI 金鑰有 281 美元的費用，而 168 美元是同一名使用者的 A​nthropic 金鑰費用，另一個帳戶有超過 700 美元，而第三個帳戶有 1,700 美元。

那個落差——介於公司關於某個百分比的聲明，與用戶手中握有的帳單之間——正是這份紀錄的全部故事。揭露內容簡短，技術層面的說明付之闕如，而財務層面的說法則來自那些被收費的人。

OpenCode 用自己的話所說的內容

該公司的公開貼文長達三句話。根據 Hacker News 和 OfficeChai 引述的文本，貼文寫道：「我們昨晚發生了一起與大規模蒸餾攻擊有關的資安事件，影響了 1.4% 的 OpenCode Console 使用者。」「我們今天早上已透過電子郵件通知所有受影響者。如果你沒有收到電子郵件，就表示你未受影響；受影響的是連結了外部供應商的一部分使用者。」

由 OpenCode 團隊發布、並轉載於 Hacker News 的一則稍長的社群公告，就該公司目前所描述的內容，進一步說明了這套機制：「我們發現有人未經授權存取一套我們正在汰除的舊系統。儲存在您工作區中的第三方供應商金鑰（例如 OpenAI、Anthropic）可能已經外洩。請透過相關供應商的管理後台撤銷並更換這些金鑰、更新任何使用這些金鑰的應用程式，並檢視近期使用情況是否有異常活動。對於發生此事，我們深感抱歉，後續如有任何更新，我們會再通知。」

公司沒有公布的事，和它有公布的事一樣重要。截至 2026 年 10 月 19 日，仍沒有根本原因、沒有描述如何存取到舊系統、沒有說明入侵者存取了多長時間、沒有提供 1.4% 這個數字背後的受影響帳戶絕對數量、沒有總損失數字、沒有補償政策，也沒有事後檢討。OpenCode 當時表示：「事件仍在進行中，因此我們目前無法分享更多細節。」CyberSecurityNews 也指出同樣的缺失，並補充說 OpenCode 未提供任何技術證據，將外洩的憑證與蒸餾活動相連結。

時間軸，以及各方報導出現分歧之處

OpenCode 的貼文日期為 2026年10月17日，並稱該入侵事件發生於「昨晚」，將入侵時間定位在10月16日至17日夜間。該公司聲明在 Hacker News 的投稿時間戳記為10月17日 18:01 UTC。兩天後，共同創辦人 Dax Raad表示，攻擊者「過去48小時不停試圖攻擊我們的系統」，且「我的個人帳號現在也正遭受攻擊」，並形容這是「AI 驅動駭客攻擊的全新世界」（OfficeChai）。

通知時機是各公開說法中唯一不一致的地方。OpenCode 表示已於「今天早上」通知受影響使用者。Startup Fortune 報導，Anomaly 於 10 月 17 日以電子郵件通知受影響使用者，但指出消息來源對於通知是在 17 日上午還是 18 日上午發出有所分歧；OfficeChai 將 OpenCode 和 Raad 的貼文都定為 10 月 17 日，並把社群聲明和電子郵件放在 10 月 18 日上午。Startup Fortune 還報導，使用者被告知要檢視可追溯至 10 月 17 日的帳單與用量記錄——這個截止點很重要，因為有些使用者回報在第一批通知送達前就出現了不明收費。

儲存了什麼，以及為何重要

這次暴露範圍僅限於 OpenCode Console，也就是存放帳戶、訂閱與已連結供應商憑證的託管儀表板，而非單獨的開源 CLI。Dealroom 報導，Console 將使用者的供應商金鑰儲存在 OpenCode 的伺服器上，並稱 OpenCode 支援來自超過 75 家供應商的模型，且由使用者提供自己的私人 API 金鑰。正是這樣的設計，讓單一內部系統遭入侵，演變成同時外洩三家不同 AI 實驗室所持有憑證的事件。

OpenCode 點名 OpenAI、Anthropic 和 Google 為其金鑰在範圍內的供應商，並表示正與這三家合作「補救此問題」。目前為止，所報導唯一的供應商端行動來自二手消息：Dealroom 報導指出，Anthropic 表示已撤銷受影響的 Claude API 金鑰。在本文所檢視的報導中，OpenAI 和 Google 都未被直接引述，且沒有任何供應商發布自己的聲明。

使用者表示已送達的帳單

財務損害並非來自 OpenCode 的揭露——該公司並未公布任何損失數字——而是來自向記者發言的個別使用者。Dealroom 於 10 月 18 日發表的報導點名了三人：

• Colin Parsons，其 OpenAI 金鑰按該媒體的說法被「狂刷」了 $281，而其 Anthropic 金鑰則被收取了 $168。

• Preston Zeller，他報告的損失為$1,700。

• Francisco Giancarelli，在停止使用前已產生超過 700 美元的 OpenAI 使用費用。

Cryptobriefing 並未點名具體人士，其描述帳單金額「攀升至數百美元」，並直言原始資料並未說明未經授權的查詢所產生的費用將如何處理。兩天過後，情況依然如此：至今未公布任何補償承諾。

另外還有兩類傷害被指控，但尚未證實。Startup Fortune 報導，一名使用者表示 {{1}}G​oogle 在事件後暫停了其 G​oogle Cloud 專案{{/1}}，另一人則說 {{2}}O​penAI 因與此事相關的條款違規而刪除了其帳號{{/2}}——該媒體稱這些是 X 上的個別貼文，無法核實。另外，OpenCode 自家的 GitHub 問題追蹤器載有使用者提交的報告，這些報告與該公司「若你沒收到電子郵件，就代表你未受影響」的說法顯得格格不入。10 月 18 日提交的 Issue #56833 來自一名訂閱者，其表示自己的工作區從未持有 OpenAI、Anthropic 或 Google 金鑰——只有一把 OpenCode Go 金鑰——但其金鑰卻在未設定到期日的情況下被撤銷，且其要求一項尚未公布的補償政策。同日提交的 Issue #56703 回報，有工作區自 10 月 17 日起顯示「工作區存取受限」，提交此回報的使用者表示自己沒有收到任何外洩通知電子郵件。這些是未經確認的使用者報告，並非公司聲明，但它們顯示補救措施觸及了收到電子郵件者以外的帳號。

「蒸餾攻擊」：這個說法在起什麼作用

OpenCode 的定調是一種動機主張，而非漏洞描述，且該公司未公布任何支持此說法的內容。Cryptobriefing 將表面目的描述為收集高品質的模型輸出，這些輸出可用於訓練競爭模型，而無需支付算力或原創研究的成本，並指出 Anthropic 曾於 2026 年 2 月描述類似的蒸餾方法。這是對意圖的合理重建。這並非關於是誰所為或其執行了什麼的證據。

這項說法立刻引來研究人員與使用者的質疑。Startup Fortune 引述研究員Nathan Lambert詢問「蒸餾」是指訓練下游模型，「還是某種其他古怪可疑的手法，來使用非法取得的權杖」，並引述一名使用者反對道：「客戶金鑰遭入侵。想必是用於蒸餾？這不是蒸餾攻擊。」在 Hacker News 上，留言者追問同一點——這套說法來自一家公司，而其供應商整年來一直主張蒸餾是生存性的商業威脅，而且沒有公布任何查詢日誌、流量分析與歸因。對日後查閱紀錄的人來說，這項區別很重要：憑證外洩已獲確立；其背後目的則僅是斷言。

揭露之後有什麼改變

OpenCode 給受影響使用者的指示是：透過 OpenAI、Anthropic 和 Google 儀表板撤銷並替換每個已連結的供應商金鑰、更新所有使用這些金鑰的應用程式，並檢視供應商的使用情形與帳單是否有異常活動。Startup Fortune 在通知中報導了另一項建議：不要使用外洩電子郵件中的連結，而是直接前往供應商的儀表板。它還報導，使用者被要求檢查回溯至 10 月 17 日的帳單紀錄，並設定支出上限，以限制遭竊金鑰造成的風險。

在 Console 方面，可見的補救措施是撤銷與限制，而非披露。使用者回報金鑰從帳戶中消失、工作區被鎖定；OpenCode 尚未公布它在舊系統中變更了什麼、該系統現在是否已完全關閉，或它如何偵測到該存取。安全廠商 S​tep Security 在一天內發布了應變指引，包括開發者機器上記錄已連結提供者的本機憑證檔案路徑，同時指出其工具可識別 CLI 安裝，但無法判定開發者是否持有 Console 帳戶，或哪些提供者已連結至該帳戶。這項限制本身就是一項發現：無法從用戶端重建影響範圍。

什麼是已確立的，什麼不是

根據 OpenCode 自身的聲明與多份獨立報告，已確認：未經授權的一方存取了舊版 Console 系統；OpenAI、Anthropic 與 Google 的第三方供應商金鑰可能已外洩；約 1.4% 的 Console 使用者（即已連結外部供應商的那部分）已收到電子郵件通知；該公司正與這三家供應商協調；據 Dealroom 報導，Anthropic 已撤銷受影響的 Claude 金鑰；且具名使用者回報了數百至低數千美元的未授權收費。

尚未確定：1.4% 代表多少個帳號；入侵者是如何進入的；他們存取了多久；是否每個外洩金鑰都被使用；這些查詢的用途是什麼；除了供應商金鑰之外，是否還有任何資料被竊取；總損失是多少；以及是否有人會獲得賠償。OpenCode 尚未發布事故檢討報告，而其稱事件「仍在進行中」的說法也尚未正式撤回。

這裡的佐證範圍廣泛，但在一個特定層面上很淺。在48小時內，這項披露由 CyberSecurityNews、OfficeChai、Startup Fortune、Notebookcheck、Dealroom、Cryptobriefing、The420.in、TOKENPOST、FourWeekMBA、BigGo Finance 與 S​tep Security 報導，而 OECD.AI Incidents and Hazards Monitor列出該事件，日期為 2026年10月17日，將損害歸類為經濟/財產，並將受影響的 AI 原則歸類為穩健性與數位安全。這能佐證的是：該披露確實發生、其措辭與報導一致，且財務損害受到他人重視。這並未獨立驗證 OpenCode 對該入侵的內部說法，因為似乎沒有媒體取得該說法。紀錄中沒有監管機構的通知，也沒有來自 O​penAI 或 G​oogle 的廠商公告。

檔案庫如何將它歸檔

檔案將此記錄為事件——一個已實現的 AI 相關事件，而非預測——其嚴重程度為高，信心評級為A，real_harm記錄為真，且無爭議。類型標籤為CRED與INFRA：一個代理平台基礎設施的憑證外洩。無爭議標記是關於該事件，而非關於蒸餾框架；檔案不將 OpenCode 的動機主張視為已定論，讀者也不應如此。

除了金額數字之外，還有兩件事讓這份紀錄值得保留。第一件事是架構層面：一個代理平台若在自己的伺服器上儲存客戶通往三家相互競爭實驗室的金鑰，就會集中原本可能由各客戶自行承擔的風險；而停用一套系統，並不等於停用其中的憑證。第二件事是證據層面：公司自己的說法只是一個百分比、一套舊系統和一個動機，而發票是由使用者提供的。這份紀錄比事件嚴重程度所應有的還單薄，而這正是多數這類揭露至今仍呈現的樣貌。

這筆紀錄與其他已記錄的代理事件並列於AI 事件檔案庫中，其中每筆條目都附有自己的來源、嚴重程度、可信度評級與爭議標記。