api密钥泄露，给所有用AI工具的人提了个醒

10月18日凌晨，开源AI编程工具OpenCode披露了一起安全事件：前一晚发生漏洞，官方称源于"大规模蒸馏攻击"，1.4%的Console用户受影响。Anthropic连夜撤销了疑似受影响的Claude API密钥，并建议在OpenCode里保存过密钥的用户重新创建。
先把受影响范围说清楚：官方口径是"链接了外部提供商"的部分用户。翻译一下，就是把Anthropic、OpenAI、Google这些平台的API密钥存在OpenCode里的人。官方表示已经通过邮件逐一通知，"没收到邮件就是没受影响"。事件还在处理中，细节没有完全公开，OpenCode正与Anthropic、OpenAI、Google合作补救。
有一个争议点要照实说：OpenCode把这次攻击定性为"蒸馏攻击"，这个说法受到了质疑。有评论指出，把"偷API密钥"的网络攻击说成"蒸馏"，逻辑上站不住，相关流量的规模和去向也还没讲清楚。定性之争是圈内的事，会随着调查推进水落石出。
但普通人要抓的是另一件事：你的密钥，此刻安不安全？
API密钥就是你的钱包加你的身份。谁拿到它，谁就能以你的名义调用模型，烧的是你的钱。很多人图方便，把密钥明文存在各种第三方工具、聊天记录、配置文件里，一存就是一年，早就忘了。这次事件是个提醒：方便和安全的账，早晚要算。
现在花10分钟，做一次"密钥体检"。先翻邮箱，看有没有OpenCode的通知邮件；然后去Anthropic、OpenAI、Google的控制台，把在OpenCode里用过的密钥撤销掉，重新生成一对新的换上；顺手看一眼最近的用量账单，有没有半夜三更的异常调用。以后记住三条铁律：密钥不贴在聊天记录和第三方输入框里，能走环境变量就走环境变量；长期不用的密钥定期清理；给主力密钥设个用量上限和告警，被盗刷时第一时间知道，而不是月底看账单时才傻眼。
安全事件里最贵的不是密钥本身，是"我以为没事"的侥幸。这10分钟，今天就做。希望下一次类似的新闻出来时，你已经是那个"有惊无险"的人——因为你早就把密钥管好了。