OpenCode Console 遭入侵，1.4% 用户存的模型厂商密钥可能外泄
开源编码 Agent OpenCode 10-17 18:08（UTC）在 X 上通报，前一晚发生安全事件，与一次「大规模蒸馏攻击」有关，影响 1.4% 的 OpenCode Console 用户，都是接入了外部模型厂商的那部分人，当天上午已发邮件通知，没收到邮件就不受影响。据 The Latent 报道的通知邮件，有人未经授权进入一套正在下线的旧系统，工作区里保存的密钥可能已暴露，用户需要到各厂商后台吊销。OpenCode 称事件仍在处理，正和 Anthropic、OpenAI、Google 一起补救。Anthropic 的 Lydia Hallie 说，已吊销他们认为受影响的 Claude API 密钥。参与开发 OpenCode 的 Dax 补充，出事的是 Console，不是 OpenCode 本体，本体里配置的密钥不会到他们手上；受损用户的退款也已在处理。
Console 是 OpenCode 的按量付费模型服务，团队管理员可以把自家厂商账号接进工作区共用，这次出问题的就是这层集中保存的密钥。入侵路径、受影响人数和损失规模，OpenCode 都还没公开。
密钥交给中间平台托管，平台的安全就成了你的安全，用过 Console 接自家账号的团队最好先换一遍密钥。
来源：https://x.com/opencode/status/2111519637049319818
一起交流