2026-10-22 13:21:44 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

从一封“密钥泄露”邮件说起：OpenCode 蒸馏攻击事件全解析

原创

威胁情报中心
威胁情报中心

奇安信威胁情报中心

2026年10月19日 15:15
北京

去阅读

威胁情报 · AI 供应链安全 · 事件分析

从一封“密钥泄露”邮件说起
OpenCode 蒸馏攻击事件全解析

开源 AI 编码工具 OpenCode 的托管服务 OpenCode Console 遭入侵，约 1.4% 的 Console 用户存储的第三方 AI 服务商 API 密钥疑似泄露并遭大规模调用。本文梳理事件时间线、攻击逻辑与影响面，附个人开发者与企业安全团队的排查处置清单。

· OpenCode　· 蒸馏攻击　· API 密钥泄露　· 2026.10

01 事件速览


项目	内容
事件性质	数据泄露事件，官方将其与“大规模蒸馏攻击（large scale distillation attack）”相关联
受害对象	OpenCode Console 用户中绑定了外部 AI 服务商的 subset，约占 Console 用户的 1.4%
泄露资产	存储在 Console 工作区中的第三方 API 密钥，涉及 Anthropic、OpenAI、Google
入侵位置	OpenCode 一套正在下线流程中的遗留（legacy）系统
事件状态	截至发稿仍在处置中，官方未公布根因与具体攻击路径
开源 CLI 是否受影响	官方未表示 OpenCode CLI 本身被入侵；核心开发者称本地 Agent 使用的密钥不会上传至公司服务器

一句话结论：装了 OpenCode CLI 不等于中招；只有注册了 OpenCode Console 并绑定过外部服务商密钥的用户才在影响范围内，且官方表示已逐一邮件通知——没收到邮件即未被波及。

02 事件时间线

10 月 16 日夜间至 17 日凌晨（UTC）：安全事件发生。攻击者获得对 OpenCode 一套正处于停用流程中的遗留系统的未授权访问。
10 月 17 日上午：OpenCode 向所有判定受影响的用户发送通知邮件，标题为 “Action Required: Potential provider key breach”，告知存储在用户工作区中的服务商密钥（如 OpenAI、Anthropic）可能已经泄露，要求用户前往各服务商后台撤销并更换密钥、更新使用这些密钥的应用、并核查近期用量。部分用户表示，在收到该邮件之前就已先收到 OpenAI 和 Anthropic 的用量提醒。
10 月 17 日 15:30 UTC 左右：安全研究员 Matt Johansen 在 X 上公开了这封通知邮件的截图，事件开始在开发者社区发酵。
10 月 17 日傍晚（UTC）：OpenCode 官方 X 账号发布公开声明，确认前一晚发生与大规模蒸馏攻击相关的安全泄露，影响 1.4% 的 Console 用户，已通过邮件通知全部受影响用户，未收到邮件者不受影响，并表示正与 Anthropic、OpenAI、Google 协同补救。
同期：Anthropic 负责 Claude Code 的工程师 Lydia Hallie 在 X 上表示，Anthropic 已撤销其判定受影响的 Claude API 密钥。OpenCode 核心开发者 Dax Raad 在回复中澄清：本次事件涉及 OpenCode Console，常规 OpenCode Agent 中使用的密钥不会触达公司服务器。

图 2：OpenCode 蒸馏攻击事件时间线（2026 年 10 月 16 日—19 日）（图源：本文根据官方声明、用户通知邮件及社区公开信息整理绘制）

03 官方声明的边界：说了什么，没说什么

图 1：OpenCode 官方 X 账号发布的 breach 声明（图源：OpenCode 官方 X 账号）

OpenCode 的公开声明全文仅三百余字符，信息量有限。梳理其措辞，可以确认的与尚未披露的内容如下：

已确认：

事件被定性为与“大规模蒸馏攻击”相关的安全泄露；
影响面量化为 Console 用户的 1.4%，且是绑定了外部服务商的那部分用户；
受影响用户已全部通过邮件单独通知；
三家模型服务商（Anthropic、OpenAI、Google）已介入协同处置。

尚未披露：

攻击者如何进入遗留系统、驻留时间长短；
1.4% 对应的具体用户数量；
究竟有多少密钥被窃取、是否全部被滥用；
除服务商密钥外是否有其他数据泄露（据第三方媒体转述，OpenCode 在通知中表示目前未发现其他数据外泄的证据，但该信息未经官方正式渠道确认）；
“蒸馏攻击”与本次入侵之间的具体因果关系——是攻击者为了蒸馏而窃取密钥，还是入侵后顺带发现了可用密钥，官方均未解释。

值得注意的是，厂商声明本身并未出现“credentials”“keys”字样，密钥泄露的说法来自用户收到的通知邮件。媒体报道中“凭证泄露”的表述属于对邮件内容的转述，与公开声明措辞存在差异，阅读二手信息时需留意这一口径区别。

04 攻击逻辑：为什么蒸馏攻击者盯上了 OpenCode

4.1 什么是“蒸馏攻击”

模型蒸馏本是合法的训练技术：让一个“学生模型”批量学习“教师模型”的输出，以远低于从头训练的成本复制其大部分能力。主流 AI 实验室内部都广泛使用这一技术生产轻量化模型。

但当它被武器化后，就变成了一种能力窃取手段：攻击者通过海量、构造精良的查询调用目标模型的 API，收集返回结果（尤其是思维链推理过程），将其作为训练数据喂养自己的模型。这类活动的难点在于，单次查询看起来与正常用户请求无异，只有达到规模后才构成威胁。

这并非新出现的威胁。2026 年 2 月，Anthropic 与 Google 威胁情报团队先后披露了针对 Claude 和 Gemini 的大规模蒸馏活动，Anthropic 称其监测到约 2.4 万个欺诈账户产生了超过 1600 万次交互。2026 年 9 月 8 日，美国 NSA、CISA、FBI 又联合发布通报 AA26-251A，指控多家 AI 公司自 2024 年底以来通过欺诈账户、被盗支付卡和被盗 API 密钥、以及被称为“中转站”的 API 代理灰产，对美国前沿模型开展工业化规模的蒸馏活动，并将相关战术映射至 MITRE ATLAS 框架。该通报同时指出，被盗的企业 API 凭证正是这一市场的直接“燃料”。（上述通报内容为美方机构的指控性表述，被点名方面曾公开否认，本文仅作威胁背景引用。）

4.2 聚合入口的“单点价值”

理解了蒸馏攻击对“可计费的模型调用能力”的饥渴，就不难理解 OpenCode Console 为何成为目标。

开发者把 Anthropic、OpenAI、Google 的密钥绑定到 Console，图的是一个入口调用多家前沿模型的便利。但对攻击者而言，这意味着一处入侵即可批量获取横跨多家服务商的调用凭证——一把钥匙开多扇门。随着各大模型厂商收紧直接注册与区域访问，聚合托管的第三方密钥池成了极具吸引力的侧门。

从结果看，攻击者的操作也印证了“要算力不要数据”的目的：多名受影响用户报告账户被用于大量模型调用，产生了未经授权的账单——有用户称 Anthropic 账户产生约 400 美元扣费，有用户的 Google 项目因“过度滥用”被暂停且费用约 200 欧元，社区中还有 281 美元（OpenAI）、168 美元（Anthropic）乃至约 1700 美元的报告，记者 Max Weinbach 称其 OpenAI 与 Anthropic 余额被耗尽、Google 账户被限速并部分耗尽。以上金额均来自用户自述，未经官方核实，但“密钥被盗用跑量”这一行为模式与蒸馏攻击的动机高度吻合。

图 3：OpenCode 事件攻击链与受害者侧后果9（图源：本文作者根据官方声明及公开报道整理绘制）

05 影响面自查：你是否在风险范围内

5.1 三个层次的判断

仅安装 OpenCode CLI、未注册 Console：官方口径下不受影响。Dax Raad 明确表示本地 Agent 使用的密钥不会发送到 OpenCode 服务器。
注册了 Console 但未绑定外部服务商：不在官方描述的受影响 subset 内。
注册了 Console 且绑定了 Anthropic / OpenAI / Google 密钥：属于潜在受影响群体，以是否收到官方通知邮件为最终判断依据。

5.2 本地痕迹排查

OpenCode 会把已绑定的服务商凭证缓存在开发者本机，检查该文件可以确认某台机器是否绑定过服务商：

macOS / Linux：~/.local/share/opencode/auth.json
Windows：%USERPROFILE%\.local\share\opencode\auth.json

该文件存在且列出了 provider，即说明该用户绑定过外部服务商，应按“潜在受影响”处置。CLI 安装痕迹可通过以下方式确认：

macOS / Linux

which opencode

ls ~/.opencode/bin/opencode

ls ~/.config/opencode

ls ~/.local/share/opencode/auth.json

Windows 下检查 PATH 中的 opencode.exe，以及 %USERPROFILE%\.config\opencode 与 %USERPROFILE%\.local\share\opencode 目录。

需要强调的是：由于本次事件与 CLI 版本无关，本机装的 OpenCode 是什么版本并不能说明是否中招，关键变量是“是否有 Console 账号”和“是否绑定过服务商”。

5.3 企业侧的资产盲点

大多数安全团队手里并没有一份“哪个开发者装了哪个 AI 编码工具”的清单。这类影子 AI 工具的资产摸排是响应此类事件的第一步。可借助开源工具（如 StepSecurity 发布的 Dev Machine Guard，可扫描开发机上的 AI 编码 Agent、MCP Server、IDE 扩展等）批量发现 OpenCode 安装情况；也可通过 EDR/MDM 的软件清单能力检索 opencode 二进制与上述配置目录。发现安装点后，仍需逐一与用户确认其 Console 账号绑定情况与是否收到通知邮件。

06 应急处置清单

对于确认或疑似受影响的用户，建议按以下顺序处置：

1查邮件 —— 确认是否收到 OpenCode 的通知邮件（主题为 “Action Required: Potential provider key breach”）。官方口径为“未收到邮件即未受影响”。

2查绑定 —— 查看本机 auth.json，列出所有绑定过的服务商——文件中出现的每一个 provider 都是一枚需要轮换的凭证。

3轮换密钥 —— 立即在各服务商后台撤销并更换所有曾接入 OpenCode / OpenCode Console 的 API 密钥，并同步更新所有使用该密钥的应用与流水线。Anthropic 已主动撤销其判定受影响的 Claude 密钥，但这不能替代用户自身的排查。

4核查账单与用量 —— 逐一检查各服务商的用量面板，重点核对 10 月 16 日以来的调用记录，寻找非本人发起的请求与异常消费。

5保留证据 —— 保存异常账单、用量截图与通知邮件，以便后续与服务商交涉退款或用于内部事件记录。

07 事件启示


🔑 API 密钥已是“类现金”资产一枚 Bearer Key 即可直接转化为模型调用算力与训练数据，盗用者甚至不需要接触受害者的任何业务数据，就能造成实打实的经济损失。对密钥的保护应当对标支付凭证。		🎯 托管聚合放大单点风险把多家服务商密钥集中存放在第三方工作区，便利与风险同步集中。评估任何 BYOK（自带密钥）类托管服务时，“密钥如何存储、最小权限、可否设置消费上限”应为准入问题。

🏚️ 遗留系统是永恒的薄弱环节本次被入侵的是一套正在下线流程中的旧系统——处于维护边缘、关注度下降，却仍存放着活跃凭证。退役中的系统不等于风险退役。		🕵️ 影子 AI 工具资产化迫在眉睫 AI 编码工具在开发机上的普及速度远超安全团队的资产纳管速度，本次事件中“先找到谁装了 OpenCode”成为响应的第一瓶颈，值得每个企业对照自查。

08 技术附录

8.1 MITRE ATT&CK 技术映射

说明：厂商尚未披露入侵途径与完整攻击链，下表仅基于已公开事实对可确认环节进行映射，未知环节标注为“未披露”，不做推测。


战术阶段	技术编号	技术名称	本次事件中的对应行为
Initial Access	—	—	未披露。已知入口为一套正在停用的遗留系统，具体入侵向量官方尚未公布
Credential Access	T1552.001	Unsecured Credentials: Credentials In Files	第三方服务商 API 密钥以文件/工作区形式存储（云端 Console 工作区、本机 auth.json），成为攻击目标
Initial Access（滥用阶段）	T1078	Valid Accounts	攻击者持窃取的真实 API 密钥，以受害者身份调用 Anthropic / OpenAI / Google 模型服务
Impact	T1496	Resource Hijacking	盗用受害者账户的模型调用配额进行大规模推理（用于蒸馏），消耗受害者账单额度
Impact	T1657	Financial Theft	多名用户报告产生数百至上千美元未经授权的 API 消费（用户自述，未经官方核实）

补充：蒸馏攻击本身（批量采集模型输出用于训练竞争模型）属于 MITRE ATLAS 框架的覆盖范畴；2026 年 9 月的 AA26-251A 联合通报已将工业化蒸馏活动的相关战术映射至 ATLAS，可作为防御方构建检测能力的参考。

8.2 失陷指标（IoC）与检测要点

厂商尚未发布哈希、IP、域名等经典 IoC。以下为可用于自查与狩猎的行为类指标：


类型	指标	说明
邮件	主题含 “Action Required: Potential provider key breach” 的发件人为 OpenCode 的邮件	官方受影响用户通知邮件，收到即视为受影响
文件	~/.local/share/opencode/auth.json （macOS/Linux）；%USERPROFILE%\.local\share\opencode\auth.json（Windows）	存在且列出 provider，说明该机器绑定过外部服务商密钥
文件/进程	opencode / opencode.exe 二进制；~/.opencode/bin/opencode、~/.config/opencode（Windows 下对应 %USERPROFILE% 路径）	OpenCode CLI 安装痕迹，用于资产摸排
账单行为	10 月 16 日起 Anthropic / OpenAI / Google 账户出现非本人发起的模型调用与异常消费	密钥被盗用的直接信号，金额从数百到上千美元不等（用户报告）
服务商侧告警	收到 OpenAI / Anthropic 的用量提醒，或 Google 项目因“过度滥用”被暂停	本次事件中多名用户先于厂商通知收到此类提醒，可作为独立预警信号

检测建议：

在企业 EDR/资产平台检索开发机上的 opencode 安装痕迹与 auth.json 文件，建立受影响人群清单；
对组织统一支付的 AI 服务商账户，导出 10 月 16 日以来的调用日志，按调用量突增、异常时段、非常用模型等维度筛查；
为所有服务商密钥设置消费上限与速率限制，将“密钥泄露”的损失控制在可承受范围。

09 参考链接

1. StepSecurity：OpenCode Security Breach: Distillation Attack Hit Console Users With Linked AI Providers
https://stepsecurity.io/blog/opencode-security-breach

2. Cybersecurity News：OpenCode Security Breach Exposes Third-Party API Keys of its Console Users
https://cybersecuritynews.com/opencode-security-breach/

3. IT之家：OpenCode 遭攻击：部分用户 OpenAI、Anthropic 等 API 密钥外泄
https://www.ithome.com/1/014/434.htm

4. Startup Fortune：OpenCode breach exposes stored OpenAI and Anthropic keys, prompts urgent key rotation
https://startupfortune.com/opencode-breach-exposes-stored-openai-and-anthropic-keys-prompts-urgent-key-rotation/

5. Crypto Briefing：OpenCode discloses distillation attack that hit 1.4% of Console users
https://cryptobriefing.com/opencode-distillation-attack-api-key-breach/

6. explainx：OpenCode Console Breach: Stored Provider API Keys, 1.4% of Users, and What to Do Now
https://explainx.ai/blog/opencode-console-breach-stored-api-keys-distillation-attack-what-to-do-2026

7. CyPro：OpenCode Breach May Have Exposed Provider API Keys
https://cypro.co.uk/insights/cyber-bulletins/opencode-breach-may-have-exposed-provider-api-keys/

8. NSA/CISA/FBI 联合通报 AA26-251A（TLP:CLEAR）：China-Based AI Companies Conducting Industrial-Scale Distillation Campaigns Against U.S. AI Companies
https://www.waterisac.org/tlpclear-joint-advisory-china-based-ai-companies-conducting-industrial-scale-distillation-campaigns-against-u-s-ai-companies

9. StepSecurity Dev Machine Guard（开源开发机扫描工具）
https://github.com/step-security/dev-machine-guard