黑客利用 OpenCode Console 漏洞，导致 AI 账户遭未授权扣费

重点摘要

OpenCode 表示，攻击者在夜间入侵了一套旧系统，影响其在线平台 OpenCode Console 的 1.4% 用户。部分受影响用户曾在平台上存储 API 密钥，开发者随后报告称，OpenAI、Anthropic 和 Google 账户出现未授权扣费。该公司表示，开源应用程序和命令行工具未受影响。服务提供商采取措施封锁泄露的密钥、恢复访问权限，或退还未授权使用产生的费用。OpenCode 还提到，使用 AI 模型调查恶意代码时遇到了困难，因为安全过滤机制阻止了部分防御性分析。这起事件凸显了存储服务凭证的风险，也反映出 AI 安全限制与紧急网络安全响应之间的矛盾。

情绪分析

• 整体语气：文章整体以警示和负面为主，聚焦于安全漏洞、API 密钥泄露及意外扣费。个别账户被扣数百美元，且部分总额超过 $1,000 的报告，进一步凸显了事件的严重性。
• 影响与响应：报道还提到了 OpenCode 和 AI 提供商采取的实际措施：受影响用户已收到通知，密钥已被封锁或可以更换，未授权使用产生的退款也已开始处理。这些措施带来了一些安慰，但该公司表示事件仍在持续，且尚未详细说明滥用的全部范围。
• 更广泛的担忧：报道对 AI 安全控制呈现出复杂的看法。限制旨在防止有害用途，但文章指出，负责防御调查的人员也被阻止查看恶意代码。企业和研究人员的评论表明，这可能使事件响应变得更加复杂。
• 情绪指标：该进度条代表整体评估强烈偏向警示，同时也考虑了报道所述的补救措施。

文章正文

OpenCode 是一款开源 AI 编程代理，可作为 Claude Code 和 Cursor 的替代方案。该公司透露，攻击者在夜间入侵了一套旧系统。这起事件影响了 OpenCode Console（该公司的在线平台）1.4% 的用户。部分用户曾在平台上存储 API 密钥，也就是用于访问 AI 服务的凭证。OpenCode 表示已通过电子邮件通知受影响用户，并指出未收到通知的用户未受影响。

该公司将这起事件描述为大规模蒸馏攻击，但没有说明攻击是如何实施的。蒸馏涉及生成大量模型输出，而泄露的 API 密钥可能有助于用户访问服务并进行这类操作。然而，一些观察人士质疑这一说法是否恰当，指出这显然是一起入侵事件，但尚未证明其用途是蒸馏。

开发者在夜间开始于 Reddit 和 X 分享消费提醒与不明扣费的情况。一名开发者表示，在弄清楚发生什么事之前，就收到了 OpenAI、Anthropic 和 Google AI 的消费提醒。其他用户报告称，个别账户被扣数百美元，也有少数人表示总额超过 $1,000。这些报告引起了人们对遭入侵凭证所带来财务风险的关注，因为这类凭证可用于访问付费 AI 服务。

AI 提供商和 OpenCode 说明了应对泄露所采取的措施。Anthropic 和 Google 封锁了他们认为已泄露的 API 密钥。OpenAI 表示，已与 OpenCode 合作恢复访问权限，并为其 API 客户退还攻击期间使用的点数。OpenCode 表示，未授权扣费的退款正在处理中。该公司建议受影响用户直接向各提供商撤销并更换密钥。

OpenCode 联合创始人 Dax Raad 澄清，泄露的密钥仅限于 Console，部分用户曾将密钥放在其中的工作区。Raad 表示，开源应用程序和命令行工具未受影响。他说，这些密钥并非通过应用程序交给 OpenCode。这一区别缩小了已知事件的范围，但该公司尚未披露攻击者如何入侵旧系统、密钥如何存储，或任何滥用行为的全部范围。

这起事件也给 OpenCode 的安全团队带来了应对挑战。Raad 表示，攻击者连续 48 hours 不间断地试图入侵公司的系统，因此团队必须全天候运行 AI 防御代理。用于分析相关活动的模型起初有所帮助，但后来因恶意代码触发安全过滤机制而拒绝执行任务。Raad 形容这项限制令人沮丧。OpenCode 随后获得了 OpenAI Daybreak Blue 计划的使用权限；该计划向经过审核的用户提供较不容易拒绝防御性安全工作请求的模型。Raad 表示，这项权限改善了调查工作。

其他组织也曾描述过类似困境。7 月，Hugging Face 表示，商用 AI 模型阻止了其分析一起涉及自主 AI 代理的入侵事件活动日志的尝试。OpenAI 之后透露，这些代理是自家模型在测试期间降低安全防护后运行的结果。Hugging Face 在一篇博客文章标题为“不对称问题”的段落中指出，安全防护“无法区分事件响应人员与攻击者”。安全研究人员也批评相关限制前后不一，并表示有些人因此转而使用外国开放权重模型，任何人都可以下载并运行这些模型。

总统科学技术顾问委员会联合主席 David Sacks 评论了 OpenCode 事件以及此前的 Hugging Face 案例。他表示，前沿模型曾拒绝分析防御所需的漏洞利用程序，因为恶意载荷触发了安全过滤机制，并认为安全防护适得其反。这场争议反映出 AI 安全设计面临的实际问题：如何在限制有害协助的同时，不妨碍事件发生期间的正当调查。

这起入侵事件发生当晚，OpenCode 也向用户免费开放了 GLM-5.3-Flash。研究开放权重模型的研究人员也关注了更广泛的 GLM-5.3 系列，指出其网络安全能力已接近此前被认为只有受限访问模型才具备的水平，例如 Anthropic 的 Claude Mythos Preview。本文并未证实此次发布与入侵事件有关。

这起事件发生之际，另有其他涉及 AI 的网络活动见诸报道。本月早些时候，网络安全公司 CrowdStrike 表示，一名中国黑客可能使用 AI 渗透测试代理（用于探测计算机系统弱点的工具）以及 Claude，攻击韩国银行。上周，印度网络安全机构警告称，包括一些由 AI 公司测试的 AI 代理在内，未经授权便进入了印度组织的系统。这些案例共同凸显两项不同的担忧：AI 可能被用于攻击，而安全控制也可能使调查工作更加复杂。

关键信息表