OpenCode 稱 Console 資安事件波及約 1.4% 的使用者

OpenCode 表示，約 1.4% 的 OpenCode Console 使用者受到一起資安事件影響。該公司於北京時間 10 月 18 日 02:08 在 X 上發文，稱發生了「a security breach last night related to a large scale distillation attack」。「breach」和「大規模蒸餾攻擊」都是 OpenCode 自己的說法，這次攻擊具體涉及什麼，該公司並未說明。

哪些人受影響

根據 OpenCode 的說法，受影響的是 Console 使用者中的一部分，也就是在帳號裡串接了外部服務商的使用者。OpenCode 表示已經寄信通知所有受影響者，沒有收到信就代表沒有受到影響。這句話是 OpenCode 在北京時間 01:56 首次發文、12 分鐘後編輯時補上的。官方只給了比例，沒有公布具體人數。

事件目前仍在處理中，OpenCode 表示暫時無法透露更多細節，並稱正在「與 Anthropic、OpenAI 和 Google 合作處理」。OpenCode 在 X 上的公開貼文並未說明是否有金鑰外洩，也沒有說明攻擊是如何進行的。不過根據 Notebookcheck 的報導，OpenCode 寄給受影響使用者的信件表示，有人未經授權存取了一套正在停用的舊系統，使用者 workspace 裡儲存的第三方服務商金鑰，包括 OpenAI 和 Anthropic 的金鑰，可能已經外洩。Notebookcheck 也提到，Reddit 上有使用者反映自己的服務商帳戶出現了不明扣款。

根據 Notebookcheck 的報導，OpenCode 的信件也要求受影響的使用者到各服務商那裡撤銷並更換這些金鑰，更新所有使用這些金鑰的應用程式，並檢查近期用量是否有異常。

Anthropic 與 OpenCode 員工的說法

兩家公司的員工也在個人帳號上發了文，這些並非公司的官方聲明。北京時間 05:04，X 個人簡介顯示為 Anthropic Claude Code 團隊成員的 Lydia Hallie 引用 OpenCode 的貼文寫道：「我們一直在和 OpenCode 一起處理昨天的 breach，已經撤銷我們認為受影響的 Claude API 金鑰。」她也建議，曾在 OpenCode 裡儲存金鑰、想更謹慎一點的人，重新建立一組。

05:38，個人簡介寫著在 Anomaly 開發 OpenCode 的 Dax（@thdxr）回覆她：「注意這是 OpenCode Console，不是 OpenCode 本身，那些金鑰從來不會到我們這裡（those keys never come to us）。」他沒有進一步說明。依我們的理解，他是在區分兩個產品：在本機 OpenCode 工具裡填入的金鑰不會經過 OpenCode 的伺服器，和存在 OpenCode Console 裡的金鑰是兩回事。之後 Dax 在 X 上回覆表示，所有受影響的使用者都已經聯繫過，退款也已經在進行，他之所以還請大家寄信，只是怕有人漏看了通知信。

OpenCode 公布更多細節後，我們會更新這篇文章。