开源 AI 编程工具 OpenCode 在 10 月 17 日确认，其 Console 服务的遗留系统遭到未授权访问，工作区内保存的第三方 AI 供应商密钥可能已经暴露，涉及 OpenAI、Anthropic 等服务。需要区分的是：出问题的是托管的 Console 服务，而不是开源的命令行工具本身。
联合创始人表示，攻击者连续攻击了 48 小时，团队动用防御性 AI 智能体全天候防守，最终仍被攻破一个正在退役的遗留系统，而该系统里还存着真实有效的凭据。这正是“待退役系统”最危险的地方：关注度下降了，里面的密钥却还是活的。
对开发者的直接影响是财务与运营双重的：供应商密钥可以授权对用户账户的请求，消耗预付额度、产生账单，并可能触及供应商的其他资源。收到通知的用户应立即吊销并更换密钥。更广的教训是，当应用、后端服务与多个外部供应商坐在同一条工作流里，凭据集中存储的安全边界必须被当作一等设计问题。
评论（0）
暂无评论