OpenCode安全漏洞致数千开发者Token被盗刷，黑客借刀训练模型引行业震动

【科技纵览】当清晨的第一缕阳光洒向全球代码库时，无数AI开发者发现账户余额已归零。这场由开源编程工具OpenCode引发的安全风暴，在短短数小时内席卷了整个技术圈。据新智元报道，约1.4%的Console用户遭遇“洗劫”，其工作区内的API密钥因系统漏洞暴露，导致黑客利用顶级大模型进行高强度调用。

事件发酵始于零星账单异常。有开发者惊呼睡醒后Token被瞬间跑光，甚至触发自动充值。随后，更严重的案例浮出水面：一名Anthropic用户被狂刷400美元，另有Google Cloud用户背负超千美元账单。面对舆论哗然，OpenCode官方紧急确认，此次事故系大规模蒸馏攻击所致，根源在于一个“正准备下线”的旧版系统存在安全缺陷，致使OpenAI、Claude及Gemini等核心服务商的密钥裸奔。

值得注意的是，黑客动机并非传统的数据窃取或转卖，而是为了低成本获取高质量训练数据。通过分布式调用受害者密钥，黑客将数百万美元的模型训练成本转嫁给无辜开发者，以此生成CoT（思维链）和代码数据以优化自有小模型。这种“借刀杀人”的手段，不仅突破了各大AI巨头严禁使用自家输出训练的风控防线，更揭示了第三方聚合平台的安全隐患。

OpenCode联合创始人Dax Raad坦言连个人账号亦未能幸免，凸显攻击之广泛。目前，OpenCode已联合Anthropic、OpenAI及谷歌展开应急处理。Anthropic负责人Lydia Hallie宣布所有疑似泄露的Claude密钥已被强制注销。然而，仅修改密码或关闭本地应用无法使已流出的凭据失效。专家强调，开发者必须前往签发平台主动吊销旧Key，并仔细核查近期账单。此次事件犹如一记警钟，警示业界API密钥即数字身份的第二张身份证，任何便捷性妥协都可能付出巨额代价。随着AI代理自动化程度加深，此类针对基础设施层的攻击或将常态化，构建更严密的密钥管理体系已成为行业刚需。