黑客入侵 AI 编程工具 OpenCode，盗用用户 API 密钥并刷爆账户额度

条目称，开源 AI 编程工具 OpenCode 的在线平台遭入侵，部分用户 API 密钥被盗并产生额外调用费用；其关注价值在于，代理型开发工具把代码执行权限、模型凭证和计费风险集中到同一工作流中。

• OpenCode 官方仓库显示，该工具支持多个模型提供商，并允许通过环境变量配置 API 密钥。
• 仓库还显示，工具可搜索文件、执行命令和修改代码；这意味着凭证泄露的影响可能不止于单纯的接口费用。
• 如果攻击者能够取得有效密钥，损失范围取决于密钥权限、余额上限、供应商告警和用户是否及时轮换凭证。
• 官方仓库页面同时标注该项目已于 2025 年 9 月归档并转移到其他项目名下，这使用户核对当前维护主体和安全公告尤为重要。
• 影响/看点：事件若经官方通报或供应商日志进一步确认，可能推动开发者采用短期密钥、最小权限、用量上限和独立代理账户；实际损失取决于泄露范围与响应速度。
• 资料依据:
• OpenCode GitHub（2025-09-18）：opencode-ai/opencode repository https://github.com/opencode-ai/opencode
• TechCrunch AI（2026-10-19）：Hackers hit AI coding tool OpenCode, running up charges on users’ AI accounts https://techcrunch.com/2026/10/19/hackers-hit-ai-coding-tool-opencode-running-up-charges-on-users-ai-accounts/

本内容由 AI 生成，仅供参考，请注意甄别