通过蒸馏攻击导致的 OpenCode Console 泄露

由 Anomaly Innovations 开发的编码代理平台 OpenCode 于 2026 年 10 月 17 日披露，其已发现一个正在停用过程中的旧版 Console 系统遭到未经授权的访问 ^[1]。此次入侵暴露了用户在 Console 工作区中保存的第三方提供商密钥——包括 OpenAI、Anthropic 和 Google 的凭证——这些密钥用于连接外部模型 ^[3]。OpenCode 表示，此次泄露影响了约 1.4% 的连接了外部提供商的 Console 用户，并已向所有受影响账户发送电子邮件；公司表示，未收到该邮件的用户未受影响 ^[2]。

此次事件的异常之处在于攻击者真正图谋的目标。根据对此次泄露的报道，“被盗资产并非存储的用户信息，而是对前沿模型进行大量查询的能力” ^[4]。换句话说，这并非传统意义上的数据盗窃事件，其目标是个人记录；而是一次凭证盗窃事件，其目标是算力访问权限，费用由他人账户承担。值得注意的是，OpenCode 自身的声明从未解释攻击者是如何进入该旧系统的，他们拥有访问权限的时间有多长，或实际被盗的密钥数量有多少 ^[1]——即使补救工作正在推进，泄露的范围和持续时间仍是一个悬而未决的问题。

OpenCode 将此次泄露归因于其所谓的“大规模蒸馏攻击” ^[1]。在 AI 领域，蒸馏是指通过向更昂贵的模型输入大量输出，来训练一个更便宜的模型以模仿前者的技术。被盗的 OpenAI、Anthropic 和 Google 密钥正好为攻击者提供了这种能力：他们可以在他人的账单和速率限制下，对前沿模型进行海量查询，从而在无需支付算力费用或进行原创研究的情况下，获取高质量的响应 ^[4]。正如一个安全研究团队所言：“任何持有被盗提供商密钥的人都可以在你的账户上运行工作负载并推高你的账单。根据密钥的权限范围，他们还可能访问与该密钥关联的文件、提示词和微调模型” ^[5]。

这并非首次出现类似情况。Anthropic 在 2026 年 2 月已记录过其他行为者使用的类似蒸馏方法 ^[4]，而 2026 年 9 月报告的另一次攻击活动显示，中国 AI 实验室据称从 Claude 中提取了约 1.9 亿次交互，以帮助训练竞争模型 ^[5]。分析此次 OpenCode 泄露事件的分析师指出，在此市场上，属于成熟高消费客户被盗的密钥比新创建的账户更有价值，因为新账户越来越容易受到反滥用限制，而老的受信任账户则不会 ^[6]。从这个意义上说，一个被攻破的 OpenCode Console 密钥不仅仅是一扇后门——它是一张经过预先审核、高额度的通行证，可进入 GPT、Claude 和 Gemini。

安全研究人员将 OpenCode 泄露视为一种结构性问题，而非偶然事件：“编码代理在设计上就是凭证磁石。它们与多个模型供应商通信，驱动你的工具链，生成 MCP 子进程，并加载会自我更新的技能和插件” ^[6]。像 OpenCode 这样的工具通过单一托管网关将请求路由到 OpenAI、Anthropic 和 Google——这对需要同时管理多个模型的开发者来说非常方便，但也意味着一个被攻破的系统可以一次性暴露多个供应商的凭证，而无需攻击者分别入侵每个提供商 ^[7]。

值得注意的是，这一风险仅限于 OpenCode 的托管 Console 产品，而非其本地 CLI。CLI 将提供商密钥存储在用户自己的本地配置文件中，因此这些凭证根本不会到达 OpenCode 的服务器 ^[7]——这正是该公司能自信地宣称仅使用 CLI 的用户从未暴露的原因。分析师还将此次泄露与 2025 至 2026 年间一系列针对开发者工具附近凭证的事件联系起来，包括 Nx postinstall 漏洞、Amazon Q 的 CodeBuild 令牌泄露、Shai-Hulud npm 蠕虫病毒以及 slopsquatting 包的幻觉问题 ^[6]——这一模式表明，随着 AI 编码工具整合越来越多的供应商，它们正因其被赋予的高度信任而成为首选攻击目标。

财务影响立即显现且分布不均。据报道，受影响密钥上的未授权费用从 Anthropic 账户的约 400 美元到一夜之间 OpenAI 与 Anthropic 综合使用超过 1,700 美元不等，一名用户报告称其 Google 账户产生了约 200 欧元的未授权费用，并因滥用被暂停账户 ^[2][8]。Anthropic 迅速采取行动：工程师 Lydia Hallie 表示，公司“一直在与 OpenCode 合作处理昨日的泄露事件，并已撤销我们认为受影响的 Claude API 密钥”，但仍敦促谨慎的用户自行轮换密钥 ^[2]。

但除了金钱纠纷外，另一场争论围绕 OpenCode 自身的表述展开。在 X 平台上，AI 研究员 Nathan Lambert 公开质疑为何一次凭证盗窃事件会被描述为通常专用于模型训练技术的“蒸馏”一词，称将如此高查询量的事件归入与模型迁移相关的同一术语十分奇怪。这种怀疑在 Reddit 上引起强烈共鸣，许多用户将“蒸馏攻击”视为一种措辞，旨在转移人们对更基本安全漏洞的注意力——一个仍持有有效凭证的已弃用系统。OpenCode 声称其调查“截至目前”未发现其他数据泄露的证据 ^[1]，但这几乎未能平息争论，因为它仍留下了一个问题：公司对自己泄露事件的了解究竟有多少。