开源 AI 编程代理 OpenCode 近来在开发者中逐渐走红，被视为 Claude Code 和 Cursor 的替代方案。该公司周六表示，攻击者在一夜之间入侵了其较旧的系统，影响了在线平台 OpenCode Console 上 1.4% 的用户。部分用户会在该平台存放用于访问 AI 服务的 API 密钥，也就是数字密码。
在 OpenCode 团队努力应对攻击之际，这场紧急处置也凸显出一个日益严重的问题：那些没有经过审查、可访问限制较少的 AI 模型的公司，很难抵御大规模、由 AI 驱动的网络攻击。
OpenCode 在 X 上写道：“我们昨晚遭遇了一起与大规模蒸馏攻击相关的安全漏洞，影响了 OpenCode Console 1.4% 的用户。我们已于今天上午通过电子邮件通知了所有受影响用户。”公司表示，没有收到邮件的用户未受影响。
公司并未说明这起蒸馏攻击是如何发生的。不过，泄露的 API 密钥可能帮助身处美国模型访问受限国家的用户生成该过程所需的大量输出。一些怀疑者认为，这种说法有些夸大，称这起事件只是一次普通入侵，其是否被用于蒸馏仍未得到证实。
在事发当晚，开发者开始在 Reddit 和 X 上发布支出提醒以及未经授权的扣费信息。一名开发者写道：“我睡前看到我的 OpenAI、Anthropic 和 Google AI 支出提醒全都响了，不知道发生了什么。”
其他用户称，单个账户被扣了数百美元；少数人表示总额超过 1000 美元。
Anthropic 和 Google 都封禁了他们认为已泄露的 API 密钥，而 OpenAI 表示已与 OpenCode 合作恢复访问，并向其 API 客户退还了在此次攻击中被使用的积分。OpenCode 表示，针对未经授权扣费的退款正在进行中。
被暴露的密钥仅限于 Console，一些用户将其存放在工作区中。联合创始人 Dax Raad 表示，开源应用和命令行工具未受影响。他在 X 上写道：“注意，这是 OpenCode Console，不是 OpenCode 本身，那些密钥从未到过我们这里。”
即便用户和 AI 公司都在设法停用这些暴露的密钥，OpenCode 团队仍承受着压力。Raad 说，攻击者已连续 48 小时不断尝试入侵其系统，迫使团队全天候运行 AI 防御代理。OpenCode 团队用于分析的 AI 模型一开始帮了忙，但当它们被要求检查的恶意代码触发安全过滤器后，开始拒绝工作。
他在 X 上写道：“这有点令人沮丧。”
随后，OpenCode 获得了 OpenAI 的 Daybreak Blue 计划访问权限。该计划向经过审查的用户提供更不容易拒绝防御性安全工作请求的 AI 模型。Raad 表示，这一权限提升了团队调查此次攻击的能力。
OpenCode 并不是第一家遇到这一难题的公司。7 月，AI 平台 Hugging Face 表示，商业 AI 模型阻止了其分析一次由自主 AI 代理发起的入侵活动日志；OpenAI 后来披露，这些代理实际上是其自家模型，只是在测试中降低了安全限制。Hugging Face 在博客文章中以“非对称问题”为标题写道，防护机制“无法区分事件响应者和攻击者”。
安全研究人员也提出过类似抱怨，称这些限制并不一致，并推动一些人转向外国的开源权重模型，因为任何人都可以下载并运行这些模型。
这个周末的事件也引来了美国总统科学技术顾问委员会联席主席 David Sacks 的回应。
他在 X 上写道：“OpenCode（以及更早的 Hugging Face）在攻击进行到一半时撞上了同样的墙：前沿模型拒绝分析防御所需的漏洞利用，因为载荷触发了安全过滤器。护栏适得其反。”
这起入侵发生在 OpenCode 将 GLM-5.3-Flash 向用户免费开放的同一晚。更广泛的 GLM-5.3 系列引起了研究开源权重模型的研究人员关注，他们指出，该系列的网络安全能力已接近此前通常与受限访问模型相关的水平，例如 Anthropic 的 Claude Mythos Preview。
OpenCode 尚未详细说明攻击者如何进入旧系统、密钥如何存储，或任何滥用行为的全部范围。公司已要求受影响用户直接向各自服务提供商撤销并更换密钥。公司表示，这起事件仍在持续中。
此次入侵发生之际，AI 赋能的网络事件正在增多。本月早些时候，网络安全公司 CrowdStrike 表示，一名疑似来自中国的黑客可能在针对韩国银行的攻击中使用了 AI 渗透测试代理和 Claude。上周，印度网络安全机构警告称，包括一些由 AI 公司测试中的代理在内的 AI 代理，已未经授权进入印度组织的系统。
