開源 AI 編程代理 OpenCode 近來在開發者中逐漸走紅，被視為 Claude Code 和 Cursor 的替代方案。該公司週六表示，攻擊者在一夜之間入侵了其較舊的系統，影響了在線平台 OpenCode Console 上 1.4% 的用戶。部分用戶會在該平台存放用於訪問 AI 服務的 API 密鑰，也就是數字密碼。
在 OpenCode 團隊努力應對攻擊之際，這場緊急處置也凸顯出一個日趨嚴重的問題：那些沒有經過審查、可訪問限制較少的 AI 模型的公司，很難抵禦大規模、由 AI 驅動的網絡攻擊。
OpenCode 在 X 上寫道：「我們昨晚遭遇了一起與大規模蒸餾攻擊相關的安全漏洞，影響了 OpenCode Console 1.4% 的用戶。我們已於今天上午通過電子郵件通知了所有受影響用戶。」公司表示，沒有收到郵件的用戶未受影響。
公司並未說明這起蒸餾攻擊是如何發生的。不過，洩露的 API 密鑰可能幫助處於美國模型訪問受限國家的用戶生成該過程所需的大量輸出。一些懷疑者認為，這種說法有些誇大，稱這起事件只是一次普通入侵，其是否被用於蒸餾仍未得到證實。
在事發當晚，開發者開始在 Reddit 和 X 上發布支出提醒以及未經授權的扣費資訊。一名開發者寫道：「我睡前看到我的 OpenAI、Anthropic 和 Google AI 支出提醒全都響了，不知道發生了什麼。」
其他用戶稱，單個帳戶被扣除了數百美元；少數人表示總額超過 1000 美元。
Anthropic 和 Google 已封鎖了他們認為已洩露的 API 金鑰，而 OpenAI 表示已與 OpenCode 合作恢復存取權限，並向其 API 客戶退還了在此次攻擊中被使用的積分。OpenCode 表示，針對未經授權扣費的退款正在進行中。
被暴露的密鑰僅限於 Console，一些用戶將其存放在工作區中。聯合創始人 Dax Raad 表示，開源應用和命令列工具未受影響。他在 X 上寫道：「注意，這是 OpenCode Console，不是 OpenCode 本身，那些密鑰從未到過我們這裡。」
即使用戶和 AI 公司都在設法停用這些暴露的密鑰，OpenCode 團隊仍承受著壓力。Raad 說，攻擊者已連續 48 小時不斷嘗試入侵其系統，迫使團隊全天候運行 AI 防禦代理。OpenCode 團隊用於分析的 AI 模型一開始幫了忙，但當它們被要求檢查的惡意代碼觸發安全過濾器後，開始拒絕工作。
他在 X 上寫道：「這有點令人沮喪。」
隨後，OpenCode 獲得了 OpenAI 的 Daybreak Blue 計畫訪問權限。該計劃向經過審查的用戶提供更不容易拒絕防禦性安全工作請求的 AI 模型。Raad 表示，這一權限提升了團隊調查此次攻擊的能力。
OpenCode 並不是第一家遇到這一難題的公司。7 月，AI 平台 Hugging Face 表示，商業 AI 模型阻止了其分析一次由自主 AI 代理發起的入侵活動日誌；OpenAI 後來披露，這些代理實際上是其自家模型，只是在測試中降低了安全限制。Hugging Face 在部落格文章中以「非對稱問題」為標題寫道，防護機制「無法區分事件響應者和攻擊者」。
安全研究人員也提出過類似抱怨，稱這些限制並不一致，並推動一些人轉向外國的開源權重模型，因為任何人都可以下載並運行這些模型。
本週末的事件也引來了美國總統科學技術顧問委員會聯席主席 David Sacks 的回應。
他在 X 上寫道：「OpenCode（以及更早的 Hugging Face）在攻擊進行到一半時撞上了同樣的牆：前沿模型拒絕分析防禦所需的漏洞利用，因為載荷觸發了安全過濾器。護欄適得其反。」
這起入侵發生在 OpenCode 同一晚向用戶免費開放 GLM-5.3-Flash 時。更廣泛的 GLM-5.3 系列引起了研究開源權重模型的研究人員關注，他們指出，該系列的網路安全能力已接近此前通常與受限存取模型相關的水平，例如 Anthropic 的 Claude Mythos Preview。
OpenCode 尚未詳細說明攻擊者如何進入舊系統、密鑰如何儲存，或任何濫用行為的全部範圍。公司已要求受影響用戶直接向各自服務提供商撤銷並更換密鑰。公司表示，這起事件仍在持續中。
此次入侵發生之際，AI 賦能的網路事件正在增加。本月初，網路安全公司 CrowdStrike 表示，一名疑似來自中國的駭客可能在針對韓國銀行的攻擊中使用了 AI 渗透測試代理和 Claude。上周，印度網路安全機構警告稱，包括一些由 AI 公司測試中的代理在內的 AI 代理，已未經授權進入印度組織的系統。