北京
OpenCode 公布了一起安全事件：当地时间 10 月 16 日晚，一次大规模“蒸馏攻击”波及了 1.4% 的 OpenCode Console 用户。公司在 10 月 17 日上午通过电子邮件通知了所有受影响用户。
判断自己是否在名单里的方法很直接：没收到邮件，就说明没受影响。受影响的只是关联了外部服务提供商的那部分用户。事件仍在处理中，更多细节暂未披露，OpenCode 表示正与 Anthropic、OpenAI 和谷歌合作采取补救措施。
问题出在一个正处于停用流程中的旧系统上。有人未经授权访问了它，而存储在用户工作区里的 API 密钥——比如 OpenAI、Anthropic 的密钥——可能已经泄露。拿到密钥的人可以账户持有者的名义发起请求，费用记在账户持有者头上。
讨论区里，多名用户反映出现了意料之外的费用支出：
- 一位用户称，其 Anthropic 账户产生了 400 美元的未经授权扣费；
- 另一位用户表示，其谷歌服务使用费用高达约 200 欧元，且项目因“过度滥用”已被暂停。
还有用户提到，在收到 OpenCode 的安全事件通知之前，就已经先收到了来自 OpenAI 和 Anthropic 的服务使用提醒。也就是说，账单比官方邮件来得更早。
对把密钥存在第三方工作区的开发者来说，这件事的教训落在最基础的一环：密钥的生命周期不该跟着平台走。旧系统进入停用流程，并不等于里面的数据已经清空。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
