OpenCode旧系统安全事件影响部分用户 · 话题榜 · TwKit

@_FORAB

用过 AI 编程助手 OpenCode 的，赶紧去看看自己有没有被刷钱。 昨晚有人黑进了他们一个正准备下线的旧系统，结果把一部分用户，存在里面的这些第三方 API Key 给偷走了。 攻击者用偷来的 Key，去大量调用这些 AI 模型，把模型的输出扒下来，拿去训练自己的模型，费用却记在你头上。 所以官方称这是一场大规模蒸馏攻击。 有些用户已经收到账单异常提醒，Anthropic、OpenAI、Google 都有人被刷钱。 目前他们正在跟这三家，一起想办法解决。

@MaxForAI

神他妈的大规模蒸馏攻击，我是真看不懂@opencode 这次的解释。 昨晚 OpenCode 官方承认发生了一起安全事件，影响了 1.4% 的 Console 用户，还特意强调这件事与「大规模蒸馏攻击」有关，目前正在和 Anthropic、OpenAI、Google 一起处理。 结果网友把他们发给受影响用户的邮件贴出来了，我看完更迷惑了。 邮件里明明白白写着：一个正在被淘汰的旧系统遭到了未授权访问，用户保存在Workspace里的OpenAI、Anthropic等第三方API Key可能已经泄露。 官方甚至要求用户立刻撤销、更换密钥，并检查有没有异常调用。 ？？？哥们，你们自己的旧系统被人入侵了，用户的 API Key 可能被偷了，然后对外说这是一起「大规模蒸馏攻击」？ 我是真好奇，这跟蒸馏到底有什么关系？ 正常的模型蒸馏攻击，通常是通过大量调用目标模型，收集输入输出数据，用来训练另一个模型。 就算攻击者真的拿着泄露的API Key去大规模蒸馏 Anthropic、OpenAI的模型，那你首先也得解释清楚，人家究竟是怎么拿到这些密钥的？ 你们的旧系统到底出了什么安全问题？密钥为什么会暴露？有没有发生未经授权的调用？ 而且到目前为止，官方连「蒸馏攻击」的具体技术细节都没公布。 用户现在最关心的是自己的 API Key 有没有泄露、有没有被盗刷，以及这个漏洞到底修没修好。 希望OpenCode后面能给出一份完整的安全事故报告，把攻击链路、密钥暴露原因，以及所谓「蒸馏攻击」的证据讲清楚。 这几个问题一个没解释清楚，反而在公开声明里强调蒸馏攻击，我觉得挺离谱的😅