OpenCode遭黑客入侵 API密钥被盗致用户费用攀升

驱动中国10月20日消息 据TechCrunch报道，开源AI编程代理OpenCode的在线平台遭到黑客入侵，部分用户的API密钥被盗用，进而导致用户AI账户产生额外费用。OpenCode被视为Claude Code与Cursor之外的替代方案，此次安全事件让AI编程工具的账户与密钥管理问题再次受到关注。

OpenCode是一类开源AI编码代理，面向开发者提供基于自然语言的代码生成、修改与调试等能力。与Claude Code、Cursor等工具类似，这类产品通常需要将用户请求转发至云端大模型服务，并通过API密钥验证身份、记录调用和结算费用。因此，API密钥不仅是访问模型的凭证，也是连接用户账户与计费系统的关键入口。

报道显示，攻击者进入OpenCode在线平台的一部分，并窃取部分用户的API密钥。密钥一旦落入第三方手中，攻击者便可能以用户身份调用相关AI服务，由此产生的用量会被计入被盗账户，造成费用上升。目前公开报道未披露受影响用户规模、具体损失金额以及攻击发生的时间窗口。

事件处置过程中还出现一个细节：在寻求AI工具协助排查时，相关AI工具持续拒绝查看恶意代码。对于安全人员而言，恶意代码分析通常需要读取样本、还原行为并判断调用路径；AI工具拒绝查看可能涉及安全策略、权限限制或模型使用规则，但报道未进一步说明具体原因。

从开发工具行业看，AI编程助手正在进入代码仓库、本地开发环境和云端服务之间的关键流程。用户若将API密钥长期绑定在高权限账户中，一旦密钥泄露，风险并不只停留在账单层面，还可能影响模型额度、服务调用权限以及关联项目的正常访问。平台方通常需要通过密钥轮换、最小权限、异常用量监控和访问审计来降低风险。

此次事件也反映出AI编程工具快速普及后的另一面：功能迭代之外，安全边界和应急响应同样重要。开发者在使用OpenCode、Claude Code、Cursor等工具时，账户用量、授权范围和密钥暴露面成为事件后需要核查的环节；平台方也需要将密钥保护与恶意代码排查流程纳入产品安全设计，以减少类似事件带来的连带风险。