OpenCode 旧系统泄露 API Key，1.4% 用户余额被刷空

开源 AI 编程工具 OpenCode 承认一套准备下线的旧系统遭攻击，约 1.4% 的 Console 用户保存在工作区的 OpenAI、Anthropic、Gemini API Key 泄露。OpenCode 称这是一起与大规模蒸馏攻击相关的安全漏洞，黑客用窃取的额度生成顶级模型的 CoT 和代码数据来训练自己的模型，有用户的 Anthropic 账号被刷 400 美元，另有账单被刷走 1700 多美元。Anthropic 的 Lydia Hallie 称所有疑似泄露的 Claude API Key 已强制注销，OpenCode 联创 Dax Raad 称自己的个人账号也在被攻击。OpenCode 建议用户到各服务商控制台撤销并更换密钥、检查近期账单。