开源 AI 编程工具 OpenCode 爆出重大安全漏洞，大批开发者的 API 密钥一夜之间疑似泄露，多人账户余额被盗刷一空。事发后 OpenCode 紧急排查，承认这是一起与“大规模蒸馏攻击”相关的安全事件，约 1.4% 的 Console 用户受到影响。

据官方发给用户的紧急邮件披露，捅出篓子的是一个“正准备下线的旧版老系统”——这套还没来得及关停的系统被黑客攻破，导致用户保存在工作区里的第三方服务商 API 密钥（包括 OpenAI、Claude、Gemini 等）可能已经暴露。黑客拿到 Key 后直接调用顶级模型疯狂刷量：有开发者晒出账单，Anthropic 账户被刷掉 400 美元，更惨的一位直接被刷走 1700 多美元，还有人的 Google Cloud 账单莫名多出 1000 多美元。

OpenCode 已连夜向开发者发邮件预警，并联合 Anthropic、OpenAI 和谷歌一起“救火”。Anthropic 负责人 Lydia Hallie 回应称，所有疑似泄露的 Claude API 密钥已全部强制注销。颇具讽刺意味的是，连 OpenCode 联创 Dax Raad 也在 X 上发帖称自己的个人账号同样遭到攻击。目前 OpenCode 督促所有用户立即吊销并重新生成密钥、更新应用设置，并仔细核查近期调用账单。

消息来源

• 新浪财经：突发，GPT、Claude 余额一夜清空！OpenCode 爆雷