开源AI编程智能体OpenCode近期遭遇安全事件。据披露，黑客入侵了其在线平台的部分系统，窃取了部分用户的API密钥，并利用这些密钥在用户绑定的AI账户上产生费用。OpenCode是当前Claude Code与Cursor之外较受开发者关注的开源替代方案之一，此次事件涉及开发者工具链中的密钥管理环节。
根据现有信息，攻击者获取密钥后，通过调用相关AI服务在用户账户上累积了扣费。API密钥通常用于认证开发者对第三方大模型服务的访问权限，一旦泄露，攻击者可直接以受害者身份发起调用，费用由密钥持有人承担。目前尚不清楚受影响用户的具体数量及涉及金额。
值得关注的是，事件处置过程中暴露出另一层问题：被调用用于协助分析恶意代码的AI工具拒绝了相关请求，未能对攻击代码进行查看。这一细节反映出当前主流AI模型在安全策略上的限制——面对可能涉及恶意用途的代码分析请求时，模型侧的安全护栏会触发拦截，从而在一定程度上影响安全事件的应急响应效率。
OpenCode作为开源项目，其在线平台承担了密钥托管与账户管理等职能，此类环节历来是供应链攻击的高价值目标。对于依赖第三方AI服务的开发者工具而言，密钥的存储方式、访问权限控制以及泄露后的快速吊销机制，直接决定了安全事件的影响范围。
截至目前，OpenCode方面尚未公布完整的受影响范围与补救措施。该事件为开发者工具类产品敲响警钟：在AI编程工具快速普及的背景下，平台侧的凭证管理与安全审计能力需要与功能迭代同步跟进，否则密钥泄露将直接转化为用户的经济损失。
该文观点仅代表作者本人，企服科学平台仅提供信息存储空间服务。
