opencode近日公开披露，其在线平台 opencode console 遭遇安全漏洞，波及约1.4%的用户。部分用户保存在平台中的ai服务api密钥存在泄露风险，并已观测到未经授权的api调用行为，导致部分账户产生异常高额费用。公司确认已通过电子邮件向受影响用户发出通知，目前事件仍在持续调查与处理中。

OpenCode指出，本次安全事件疑似关联大规模数据蒸馏攻击，但未披露具体攻击路径。该说法亦引发部分安全研究人员的质疑。事件发生后，Anthropic 和 Google 已主动封禁其判定为遭泄露的API密钥；OpenAI 则与 OpenCode 协同开展响应工作，协助恢复相关API访问权限，并为受影响的API客户退还对应积分。有用户反馈账户出现数百美元乃至逾1000美元的非授权扣费，OpenCode表示正加速推进退款流程。

☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜

OpenCode联合创始人Dax Raad明确表示，此次影响范围仅限于 OpenCode Console 平台，其开源项目及命令行工具均未受波及。他还透露，攻击者曾连续48小时发起系统入侵尝试；团队启用AI驱动的防御代理进行应急响应，但部分模型因遭遇恶意代码触发内置安全过滤机制而中断分析任务。随后，OpenCode获准接入OpenAI Daybreak Blue项目，以增强其在防御性安全任务中的自动化分析与响应能力。

该事件再度将AI安全防护机制推至聚光灯下。今年7月，Hugging Face曾指出，商用AI模型所设的安全限制，在一定程度上制约了其对自主AI代理入侵日志的深度分析能力。

值得注意的是，此次安全事件恰发生在OpenCode宣布免费开放GLM-5.3-Flash模型之后。随着AI代理在网络安全攻防两端的应用日益深入，如何在有效遏制恶意行为的同时，兼顾合法安全研究的需求，已成为整个行业亟需破解的关键命题。