OpenCode近日披露，其在線平臺 OpenCode Console 遭遇安全漏洞，約1.4%的用戶受到影響，部分用戶存儲的AI服務API密鑰可能泄露，並出現未經授權的API調用及高額費用。該公司表示，已通過電子郵件通知受影響用戶，事件仍在調查處理中。

OpenCode稱，此次事件與大規模數據蒸餾攻擊有關，但具體攻擊方式尚未公開，相關說法也受到部分研究人員質疑。事件發生後，Anthropic和Google已封禁其認爲遭泄露的API密鑰，OpenAI則與OpenCode合作恢復訪問權限，併爲受影響的API客戶退還相關積分。部分用戶報告賬戶產生數百美元甚至超過1000美元的未經授權費用，OpenCode表示正在推進退款。

開發者，黑客，漏洞，攻擊

OpenCode聯合創始人Dax Raad強調，受影響範圍僅限Console平臺，開源應用及命令行工具未受影響。他還透露，攻擊者連續48小時嘗試入侵系統，團隊使用AI防禦代理開展應急調查，但部分模型因惡意代碼觸發安全過濾機制而停止分析。隨後，OpenCode獲得OpenAI Daybreak Blue項目的訪問權限，以提升防禦性安全任務的處理能力。

這一事件再次引發關於AI安全護欄的討論。今年7月，Hugging Face也曾表示，商業AI模型的安全限制阻礙了其分析自主AI代理入侵日誌。

與此同時，OpenCode此次事件發生在其免費開放GLM-5.3-Flash模型之際。隨着AI代理在網絡攻擊與防禦中的應用擴大，如何在限制惡意行爲與支持合法安全研究之間取得平衡，正成爲行業面臨的重要問題。