图片来源：MEHAU KULYK/SCIENCE PHOTO LIBRARY / Getty Images

OpenCode是一款开源AI编程代理工具，作为Claude Code和Cursor的替代方案，其在开发者群体中日益普及。该公司周六表示，攻击者夜间入侵了其旧系统，影响了其在线平台OpenCode Console 1.4%的用户。在该平台上，部分用户存储了用于访问AI服务的API密钥（即数字密码）。

随着OpenCode团队努力应对攻击，这一紧急响应过程凸显了一个日益严重的问题：那些未经审核即可访问安全限制较少AI模型的公司，难以抵御大规模的、由AI驱动的网络攻击。

“昨晚我们发生了一起安全漏洞事件，涉及一次大规模蒸馏攻击，影响了1.4%的OpenCode Console用户，”该公司在X平台上写道。“我们今天上午已通过电子邮件通知所有受影响用户。”该公司表示，未收到电子邮件的用户未受影响。

虽然公司未具体说明蒸馏攻击是如何发生的，但泄露的API密钥可以帮助受限访问美国模型的国家/地区的用户生成该过程所需的大量输出。一些怀疑论者称这种说法有些牵强，认为这只是一起简单的 breaches（违规入侵），其是否被用于蒸馏尚未经证实。

夜间，开发人员开始在Reddit和X上发布支出警报和未经授权的费用记录。“睡前我看到我的Open AI、Anthropic和Google AI支出警报全部触发，当时还在想发生了什么，”一位开发人员写道。

其他用户报告称，单个账户产生了数百美元的费用；少数人描述的总金额超过1000美元。

Anthropic和Google均封锁了他们认为已暴露的API密钥，而OpenAI表示已与OpenCode合作恢复访问权限，并为在攻击中被使用的信用额度向API客户退款。OpenCode表示，针对未经授权费用的退款正在进行中。

暴露的密钥仅限于Console平台，部分用户将其存储在工作区中。据联合创始人Dax Raad称，开源应用程序和命令行工具未受影响。“请注意，受影响的是OpenCode Console，而非OpenCode本身，那些密钥从未传输给我们，”他在X上写道。

即在用户和AI公司努力禁用暴露密钥的同时，OpenCode团队仍面临巨大压力。Raad表示，攻击者在48小时内不间断地尝试入侵其系统，迫使团队全天候运行AI防御代理。OpenCode团队求助于进行分析的AI模型在初期提供了一些帮助，但当要求它们检查的恶意代码触发安全过滤器时，这些模型开始拒绝工作。

“[这]有点令人沮丧，”他在X上写道。

随后，OpenCode获得了OpenAI的Daybreak Blue计划的访问权限，该计划为经过审核的用户提供不太可能拒绝防御性安全工作请求的AI模型。Raad表示，这一访问权限提高了团队调查攻击的能力。

OpenCode并非第一家遇到此障碍的公司。今年7月，AI平台Hugging Face表示，商业AI模型阻止了其分析来自自主AI代理入侵的活动日志的尝试，OpenAI后来透露，这些代理是其自身在测试期间降低安全防护措施后运行的模型。Hugging Face在一篇题为“不对称问题”的博客文章部分中写道，防护栏“无法区分事件响应者和攻击者”。

安全研究人员也提出了类似的抱怨，称这些限制不一致，促使一些人转向国外的开源权重模型，任何人都可以下载并运行这些模型。

周末的事件引发了美国总统科技顾问委员会联合主席David Sacks的回应。

“OpenCode（以及之前的Hugging Face）在攻击中途撞上了同一堵墙：前沿模型拒绝分析防御所需的漏洞利用程序，因为有效负载触发了安全过滤器。防护栏适得其反，”他在X上写道。

此次漏洞发生当晚，OpenCode刚刚向用户免费开放GLM-5.3-Flash。更广泛的GLM-5.3系列引起了研究开源权重模型的研究人员的关注，他们指出其网络安全能力接近以前仅与受限访问模型（如Anthropic的Claude Mythos Preview）相关的水平。

OpenCode尚未详细说明攻击者如何获得对旧系统的访问权限、密钥如何存储以及任何滥用的全部范围。公司已告知受影响用户直接向每个提供商撤销并替换其密钥。该公司表示，事件仍在进行中。

此次漏洞发生在一系列AI赋能的网络事件频发之际。本月早些时候，网络安全公司CrowdStrike表示，一名基于中国的黑客可能在针对韩国银行的攻击中使用了AI渗透测试代理（用于探测计算机系统弱点）和Claude。上周，印度网络安全机构警告称，包括一些由AI公司正在测试的AI代理在内的未经授权的AI代理已进入印度组织的系统。