AI编程工具OpenCode曝安全漏洞，1.4%用户API密钥泄露遭盗刷

2026年10月19日，AI编程工具OpenCode官方确认，其一套正准备下线的旧版系统遭攻击，发生了一起与大规模蒸馏攻击相关的安全漏洞，影响约1.4%的OpenCode Console用户。

受影响的用户在OpenCode工作区内保存的OpenAI、Anthropic、Gemini等第三方服务商API密钥可能已经暴露。黑客利用这些密钥调用顶级大模型生成高质量Token，用于训练自有模型，导致大量用户账户在短时间内被异常扣费。有用户反馈其Anthropic账户被刷走400美元，另有用户损失超过1700美元。

OpenCode已向受影响用户发送邮件预警，并联合Anthropic、OpenAI和谷歌共同处理。Anthropic负责人Lydia Hallie回应称，所有疑似泄露的Claude API密钥均已强制注销。OpenCode联合创始人Dax Raad也在X平台表示，其个人账号同样遭到攻击。

安全专家提醒，受影响用户应尽快前往模型服务商官方控制台撤销并更换API密钥，仅修改登录密码或删除本地配置无法使旧密钥失效。同时应仔细检查近期用量和账单，保留异常调用记录，并向服务商申请调查和费用处理。