睡了一觉起来，API 账单多了 1700 美元。不是你干的。 过去两天真有人遇到了。开源编程工具 OpenCode 昨天承认：上周六凌晨，它的旧版云端 Co… · @myldao · TwKit

@myldao

睡了一觉起来，API 账单多了 1700 美元。不是你干的。 过去两天真有人遇到了。开源编程工具 OpenCode 昨天承认：上周六凌晨，它的旧版云端 Console 被黑客攻破，里面 1.4% 的用户存着各家的 API key，全被拿走了。 最狠的不是偷钱。OpenCode 说这次是"大规模蒸馏攻击"——黑客拿着偷来的 key，对着模型狂刷几十万次问答，把输出全抓走，去训练自己便宜的仿冒模型。你的账单，只是对方批量"采样"的副产品。 有用户晒出：OpenAI 账单多了 281 美元，Anthropic 多了 168 美元；另一个被刷了 1700 多美元。有人睡前看到三个平台的消费告警一起响。 别慌，今晚照着做四件事就行。 1）先查邮箱：OpenCode 10 月 17 日早上给受影响用户发了通知邮件。没收到 = 你不在那 1.4% 里。 2）去 OpenAI / Anthropic / Google 三家后台，看 10 月 17 日之后有没有陌生的调用量和账单突增。 3）不管有没有异常：存在 OpenCode Console 里的 key，全部 revoke 重新生成。只装在本地 CLI、用命令行跑的，key 没进过云端，不受影响。 4）顺手给每个 key 设月度限额 + 消费告警。下次半夜被刷，告警先醒。 官方说退款正在处理：Anthropic 和 Google 已经主动封了疑似泄露的 key，OpenAI 在配合退被盗用的额度。 还有一层魔幻的：OpenCode 团队救火时，主流大模型的安全过滤器拦着，不让他们分析攻击材料——研究攻击本身触发了安全规则。最后靠 OpenAI 一个叫 Daybreak Blue 的特批通道才推进调查。 做安全的关键时刻，连 AI 都不肯帮你。 你的 API key 都存在过哪些地方？第三方平台、Vercel、GitHub Action……今晚顺手检查一遍？

曝光 4 · 评论 0 · 点赞 1 · 书签 0