OpenCode 被攻破，目标是密钥：一场蒸馏攻击打中 1.4% 的 Console 用户，一夜之间刷爆他们的 Anthropic、OpenAI 和 Google 账单
OpenCode 2.0 在 HN 拿下 848 分四天后，OpenCode 的账号在 10 月 17 日 17:56 UTC 发帖：昨晚发生了一起安全事件，与一场大规模蒸馏攻击有关，影响了 1.4% 的 OpenCode Console 用户。十二分钟后的第二版补充说受影响的人早上都已收到邮件，是绑定了外部供应商的那部分用户。事件仍在进行中，所以不能透露更多细节，但公司正在和 Anthropic、OpenAI、Google 一起处理。重发的声明冲到 61.9 万次展示、5800 点赞，HN 帖子四小时 542 分。
HN 提交者贴出的邮件比推文说得多。OpenCode 发现有人未经授权访问了一个正在下线过程中的旧系统，保存在你工作区里的第三方供应商密钥，举例是 OpenAI 和 Anthropic，可能已经泄露。用户被要求去各家供应商后台吊销并更换密钥。Console 是 OpenCode 的托管端，也就是 Zen 订阅，可以在里面保存任何模型供应商的密钥，所以 HN 上只用本地版的人一直在说这事碰不到他们。帖子里和 X 上的报告把损失定在每个受害者几百美元：一个用户说两把只在 OpenCode 里用过的密钥从美东凌晨两点左右开始被刷了 400 多美元，另一条回复提到 1700 美元。这些是用户说法，OpenCode 没有确认。
蒸馏这个词才是有意思的地方，而且是 OpenCode 自己用的词，不是记者用的。攻击者要的不是密码也不是卡号，要的是对前沿模型的认证访问，而一个密钥聚合器是最便宜的入口，因为一个旧系统里同时放着通往三家实验室的侧门。Anthropic 二月就记录过蒸馏攻击，此后各家实验室收紧了直接访问，压力于是转移到每一个持有密钥的中间层。X 上一条回复说对了结构：OpenCode 这次事故不是 OpenCode 的故事，是每一个编码工具都在要供应商密钥的故事，这些密钥没有消费上限、在任何地方都能用、躺在一个你从不打开的后台里。HN 帖子还有一条支线：提交者抱怨帖子被标记，一个评论者贴出 68 天前一条关于 OpenCode 数据处理的警告，当时被当成杞人忧天。
还不知道的事：攻击者怎么进的旧系统、拿到访问权多久、Google 的密钥有没有被真用过、1.4% 到底是多少个账户、账单谁来吃。好几个人说 Anthropic 已经吊销了它认为受影响的 Claude 密钥，如果属实，意味着最后能把闸关掉的是发密钥的那家。OpenAI 和 Google 到周六晚上没有任何表态。anoma.ly 和 GitHub 仓库上还没有公告。
实操教训比 agent 更老，但 agent 让它变得紧迫。每个工具一把密钥，每把密钥设硬性月上限，用量警报推到手机，不用的工具把密钥删掉。带工作负载身份的短期限定范围凭证能让偷到的 token 在别处失效，这正是 Keycard 等公司一小时内在回复里推销的产品。四天前写 OpenCode 2.0 时说守护进程加 Code Mode 是这个品类的方向。这次事故是当品类的代价：握着最多密钥的 harness，就是最值得攻破的 harness。
链接：https://x.com/opencode/status/2111519637049319818 ，https://x.com/opencode/status/2111516673953935833 ，https://news.ycombinator.com/item?id=50133401 ，https://cryptobriefing.com/opencode-distillation-attack-api-key-breach/ ，https://github.com/anomalyco/opencode
← 返回所有文章
HN 提交者贴出的邮件比推文说得多。OpenCode 发现有人未经授权访问了一个正在下线过程中的旧系统，保存在你工作区里的第三方供应商密钥，举例是 OpenAI 和 Anthropic，可能已经泄露。用户被要求去各家供应商后台吊销并更换密钥。Console 是 OpenCode 的托管端，也就是 Zen 订阅，可以在里面保存任何模型供应商的密钥，所以 HN 上只用本地版的人一直在说这事碰不到他们。帖子里和 X 上的报告把损失定在每个受害者几百美元：一个用户说两把只在 OpenCode 里用过的密钥从美东凌晨两点左右开始被刷了 400 多美元，另一条回复提到 1700 美元。这些是用户说法，OpenCode 没有确认。
蒸馏这个词才是有意思的地方，而且是 OpenCode 自己用的词，不是记者用的。攻击者要的不是密码也不是卡号，要的是对前沿模型的认证访问，而一个密钥聚合器是最便宜的入口，因为一个旧系统里同时放着通往三家实验室的侧门。Anthropic 二月就记录过蒸馏攻击，此后各家实验室收紧了直接访问，压力于是转移到每一个持有密钥的中间层。X 上一条回复说对了结构：OpenCode 这次事故不是 OpenCode 的故事，是每一个编码工具都在要供应商密钥的故事，这些密钥没有消费上限、在任何地方都能用、躺在一个你从不打开的后台里。HN 帖子还有一条支线：提交者抱怨帖子被标记，一个评论者贴出 68 天前一条关于 OpenCode 数据处理的警告，当时被当成杞人忧天。
还不知道的事：攻击者怎么进的旧系统、拿到访问权多久、Google 的密钥有没有被真用过、1.4% 到底是多少个账户、账单谁来吃。好几个人说 Anthropic 已经吊销了它认为受影响的 Claude 密钥，如果属实，意味着最后能把闸关掉的是发密钥的那家。OpenAI 和 Google 到周六晚上没有任何表态。anoma.ly 和 GitHub 仓库上还没有公告。
实操教训比 agent 更老，但 agent 让它变得紧迫。每个工具一把密钥，每把密钥设硬性月上限，用量警报推到手机，不用的工具把密钥删掉。带工作负载身份的短期限定范围凭证能让偷到的 token 在别处失效，这正是 Keycard 等公司一小时内在回复里推销的产品。四天前写 OpenCode 2.0 时说守护进程加 Code Mode 是这个品类的方向。这次事故是当品类的代价：握着最多密钥的 harness，就是最值得攻破的 harness。
链接：https://x.com/opencode/status/2111519637049319818 ，https://x.com/opencode/status/2111516673953935833 ，https://news.ycombinator.com/item?id=50133401 ，https://cryptobriefing.com/opencode-distillation-attack-api-key-breach/ ，https://github.com/anomalyco/opencode
评论