OpenCode 称 Console 安全事件波及约 1.4% 的用户

OpenCode 称，约 1.4% 的 OpenCode Console 用户受到一起安全事件影响。该公司于北京时间 10 月 18 日 02:08 在 X 上发文，称发生了「a security breach last night related to a large scale distillation attack」。「breach」和「大规模蒸馏攻击」都是 OpenCode 自己的说法，这次攻击具体涉及什么，该公司没有解释。

哪些人受影响

据 OpenCode 介绍，受影响的是 Console 用户中的一部分，也就是在账户里接入了外部服务商的用户。OpenCode 说已经给他们全部发了邮件，没收到邮件就说明没有受影响。这句话是 OpenCode 在北京时间 01:56 首次发帖、12 分钟后编辑时补上的。官方只给了比例，没有给出具体人数。

事件目前仍在处理中，OpenCode 表示暂时无法透露更多细节，并称正在「与 Anthropic、OpenAI 和 Google 合作处理」。OpenCode 在 X 上的公开帖子没有说明是否有 Key 外泄，也没有说攻击是怎么进行的。不过据 Notebookcheck 报道，OpenCode 发给受影响用户的邮件称，有人未经授权访问了一套正在停用的旧系统，用户 workspace 里保存的第三方服务商 Key，包括 OpenAI 和 Anthropic 的 Key，可能已经外泄。Notebookcheck 还提到，Reddit 上有用户反映自己的服务商账户出现了来路不明的扣费。

据 Notebookcheck 报道，OpenCode 的邮件还要求受影响的用户到各服务商那里吊销并更换这些 Key，更新所有用到这些 Key 的应用，并检查近期用量有没有异常。

Anthropic 和 OpenCode 员工的说法

两家公司的员工也在个人账号上发了帖，这些不是公司的官方声明。北京时间 05:04，X 简介显示为 Anthropic Claude Code 团队成员的 Lydia Hallie 引用 OpenCode 的帖子写道：「我们一直在和 OpenCode 一起处理昨天的 breach，已经吊销了我们认为受影响的 Claude API Key。」她还建议，在 OpenCode 里保存过 Key、想更稳妥一些的人，重新创建一个。

05:38，简介写着在 Anomaly 开发 OpenCode 的 Dax（@thdxr）回复她说：「注意这是 OpenCode Console，不是 OpenCode 本身，那些 Key 从来不会到我们这里（those keys never come to us）。」他没有展开解释。按我们的理解，他是在区分两个产品：在本地 OpenCode 工具里填的 Key 不会经过 OpenCode 的服务器，和存在 OpenCode Console 里的 Key 是两回事。之后 Dax 在 X 上回复说，所有受影响的用户都已经联系过，退款也已经在进行，他之所以还让大家发邮件，只是怕有人漏看了通知邮件。

OpenCode 公布更多细节后，我们会更新这篇文章。