OpenCode 这次安全事件，我觉得官方的说法有点避重就轻了。 官方称遭遇了大规模蒸馏攻击，影响了 1.4% 的 Console 用户。 但仔细研究后发现… · @xulijian1994 · TwKit

@xulijian1994

OpenCode 这次安全事件，我觉得官方的说法有点避重就轻了。 官方称遭遇了大规模蒸馏攻击，影响了 1.4% 的 Console 用户。 但仔细研究后发现，事情可能是这样的： 1、攻击者访问了 OpenCode 正在淘汰的旧版 Console 系统。 2、部分用户绑定的 OpenAI、Anthropic、Google API Key 可能因此泄露。 3、攻击者可能利用这些 Key 大规模调用模型，进行蒸馏，甚至产生异常账单。 这里有个很关键的逻辑问题： 蒸馏攻击本身并不会直接导致 API Key 泄露。更可能的情况是，系统先出现安全问题，攻击者获取调用权限后，再拿去进行蒸馏。 当然，具体入侵方式目前还没有公布。 我觉得 OpenCode 真正需要解释的，不是别人怎么蒸馏模型，而是为什么用户托管在平台上的 API Key 可能被第三方获取。 如果你曾经在 OpenCode Console 绑定过第三方 API Key，建议立即检查账单和调用记录，必要时撤销并重新生成密钥。 这件事也给所有 AI Coding 工具提了个醒：用户把 API Key 交给你，安全责任就不能含糊其辞。

曝光 499 · 评论 1 · 点赞 1 · 书签 0