河南
谁能想到，就睡一晚上的功夫，程序员存在平台里的API密钥直接被黑客端了老窝。全球一堆用OpenCode的开发者醒过来一看，直接傻了眼。账上的Token被造得一干二净，手机里一堆信用卡扣费提醒，整个AI圈直接炸锅。
这事儿不是小打小闹，OpenCode官方很快出来认了，确实出了安全漏洞，大概1.4%的Console用户中招。泄漏的就是存在工作区里OpenAI、Claude、Gemini这三家的API密钥，相当于直接把支付密码裸奔放在那儿，谁都能拿。黑客拿到密钥根本不客气，上来就薅顶级模型死命造，反正花的不是自己的钱，一点不心疼。
不少受害者直接在网上晒出了自己的扣费账单，有人的Anthropic账号一晚上没了400美元，换算成人民币小三千就这么没了。最惨的一位开发者，直接被刷走了1700多刀，差不多一万多块血汗钱打了水漂。换谁醒过来看见这个账单不得原地心梗啊。
出事儿之后OpenCode连夜给所有开发者发了预警邮件，还拉着Anthropic、OpenAI和谷歌一起紧急救火。Anthropic这边动作也快，负责人直接下场回应，所有疑似泄露的Claude API密钥已经全部强制注销了，不让黑客接着造钱。说起来这事儿爆得也快，最开始就是几个程序员吐槽自己离谱的API账单，没想到越闹越大，最后官方出来实锤。
捅出这么大篓子的，居然是一个正准备下线的旧版老系统。这套系统没来得及关停，直接被黑客悄咪咪偷了家，所有存在工作区的第三方API密钥全暴露了。有意思的是，连OpenCode的联合创始人都没逃过这波攻击，他自己发帖子吐槽，连个人账号都在挨揍。这波AI自动化黑客攻击，属实是刷新了大家的认知。
创始人都忍不住感慨，这波攻击打开了全新的局面，不过是往坏方向的那种。很多人好奇，黑客偷这么多密钥干嘛，既不是转卖也不是偷个人聊天记录，居然是用来训练自己的模型。黑客把偷来的密钥额度，几小时内全换成了顶级大模型生成的高质Token，刚好用来喂自己的小模型。
要训出一个还不错的小模型，最缺的就是高质量的CoT和代码生成数据。这些数据要是自己花钱找OpenAI、Claude买API生成，动不动就是几百万上千万美元，成本高得吓人。而且各大AI巨头早就明令禁止，不许拿自家模型的输出训练新模型，后台风控盯得紧，根本没法大规模搞。所以黑客才想出这么阴损的招，借开发者的钥匙刷开发者的卡，自己坐享其成拿训练数据。
攻破OpenCode这种第三方AI工具聚合平台，一下子就能拿到成百上千个真实开发者的API密钥。黑客用分布式攻击分散风险，每一分消耗都记在受害者头上，自己一分钱不花就能拿到海量训练数据。AI圈大佬说了，这开了个超级危险的头，以后用中小型第三方AI服务，风险比之前大太多了。谁也不知道自己存的密钥哪天就被偷出去当免费燃料了。
现在收到预警的开发者，第一件要做的事真不是改个OpenCode密码就完事儿了。很多人都踩过这个坑，改密码没用，关本地软件也没用，旧密钥只要没作废，黑客就能接着用，钱还会接着烧。正确操作是直接去对应模型服务商的官方控制台，把可能泄漏的密钥吊销，重新换一个新的。
弄完密钥还要回头翻一遍最近的用量和账单，把异常调用的记录、消费时间还有官方通知都整理好，去找服务商申请调查退钱。用了旧密钥的正常应用，也要同步更新配置，不然正常服务都用不了。说起来这次中招的只有1.4%的用户，比例不算高，但给所有AI从业者敲了个响当当的警钟。
AI时代，API密钥就是开发者的第二张银行卡，密码随便给第三方平台，就等于把卡交给别人随便刷。哪怕这个平台用着再方便，也要多留个心眼，毕竟黑客不会替你心疼扣出去的血汗钱。现在各大平台也都在跟进处理，中招的朋友可得赶紧去查自己的账单，别稀里糊涂亏了钱还不知道。
参考资料：澎湃新闻 开源AI工具OpenCode曝安全漏洞致开发者API密钥被盗刷
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
