你在 AI 工具里填过的那串「密钥」,其实是一张能直接扣钱的卡

很多 AI 工具和教程，第一步都会叫你做同一件事：去某个网站后台，复制一长串字符，粘进来，点保存。

那串字符叫 API Key。你可能填过好几次，却从没想过它到底是什么。

10 月 18 日凌晨（北京时间），一个叫 OpenCode 的开源编程助手在 X 上发了公告，开头是：「We had a security breach last night…」意思是，昨晚我们出了安全事故。官方称，受影响的是 1.4% 的 OpenCode Console 用户，也就是其中绑定了外部模型服务商的那部分人；官方还称，没收到通知邮件的就没受影响。据媒体转述的通知邮件，可能暴露的，正是用户存在工作区里的 OpenAI、Anthropic 等服务商的 Key。截至 10 月 18 日晚，官方还没有发布详细的事后说明。

你大概没用过 OpenCode。但只要你往任何一个工具里粘过这串字符，这件事讲的就是你。

先把几个词说清楚

• 服务商：真正提供 AI 模型的公司，比如 OpenAI、Anthropic、Google、DeepSeek。
• API：服务商开的一个「接口」。网页聊天是你自己去用模型；API 是让别的软件替你去用。
• Key：用这个接口时出示的凭证。软件每次替你调用模型，都要报上这串字符，服务商就认这串字符，按它记账。
• Console：OpenCode 的网页版账户后台。你可以把自己的 Key 存进去，让它在云端替你保管。

它为什么像一张卡

Anthropic 的帮助中心是这么说的：「你的 API Key 是进入你账户的一把数字钥匙。它很像信用卡号：谁拿到并用了它，费用就记在你头上。」

这个比喻背后是实打实的计费方式。API 是按用量收钱的：软件每调用一次模型，服务商就按这次用了多少记一笔账，记在这把 Key 所属的账户名下。调用时，服务商是按 Key 认账户、记账的。所以别人拿到你的 Key，不用登录你的账号，也不用知道你的密码，就能直接调用，钱从你的账户里走。

它和密码一样要保密。

你填进去的那一刻，就把卡交出去了

同一页帮助文档还有一句：当你把 API Key 上传到第三方工具或平台时，就等于把访问你 Console 账户的权限交给了那个工具的开发者。

这次的 OpenCode 用户，自己什么都没做错。他们只是把卡交给了一个地方保管，而那个地方出了事。

你填 Key 的地方，大致分两种：

• 存在自己电脑里。
   Key 写在你本机的配置文件里，留在你手上。
• 存在别人的云端账户里。
   用起来方便，换台电脑也能接着用，但 Key 存在对方那儿，它的安全，就得看对方做得怎么样。

两种都谈不上绝对安全，电脑本身出问题，Key 一样会丢。区别在于：后一种，你多信任了一方。填之前，你得知道这张卡交给了谁。

万一出事，按这个顺序处理

据媒体转述，OpenCode 在通知邮件里建议受影响的用户作废或更换 Key、更新所有用到它的地方、检查近期用量。OpenAI、Anthropic、Google 的官方文档也都建议换掉可能泄露的 Key。Google 的文档写了这样的顺序，照着做，中途你的工具不会断：

1. 先新建一把 Key。
    去服务商后台生成一把新的。
2. 把新 Key 换进每个工具。
    原来填旧 Key 的地方，一个个换掉。
3. 再停用或删除旧 Key。
    OpenAI 和 DeepSeek 的文档写明，删掉的 Key 就不能再用了。
4. 最后查用量和账单。
    看最近有没有不是你自己用掉的调用。

另外，服务商还有专门对付这种情况的设置，就是消费上限。OpenAI 的官方说明里讲，只开消费提醒是拦不住调用的，要拦，得设硬上限。但上限生效有延迟，花费可能会略微超出。Google 的上限还是实验功能，大约有 10 分钟延迟。所以消费上限能帮你止损，但不能保证一分钱都不多花。

如果你用的是 DeepSeek：官方 FAQ 写了，Key 泄露后，在「API keys」页面删掉，它会立即失效；在「用量信息」页面，可以按 Key 查用量。后台界面可能会改版，具体以官方页面为准。

另外，有 Anthropic 员工在 X 上说，公司已经撤销了他们认为受影响的 Claude Key，建议在 OpenCode 里存过 Key、想更稳妥的用户，重新建一把。

现在就能问自己的三个问题

• 我在哪些地方填过 Key？
   插件、写作工具、中转站、教程里的小程序，都算。如果一下子说不全，这本身就是风险：哪天出了事，你连该去哪儿换都不知道。

• 我能不能在服务商后台看到用量？
   找到那个页面，看一眼最近的用量，你就知道这张卡最近刷了多少。

• 不用的 Key，删了没有？
   早就不用的工具里，可能还留着一把能扣钱的 Key。删掉它，或者重新生成一把，最省事。

每粘一次 Key，就是把一张卡交了出去。下次粘之前，先想一想：你要交给谁。