21万STAR的AI编程工具出事了:一批人的API余额一夜被刷光

10 月 18 日深夜，一位开发者被账单提醒吵醒。

他打开后台，Anthropic 账户里少了 400 美元。这几个小时里，他本人没有发起过任何请求，日志里的调用却一波接一波，模型是 Claude 3.5 Sonnet，频率高到把配额打满为止。

碰上这事的不止他一个。两天里，技术社区里陆续有人贴出账单：有人一天被刷走 700 多美元，有人在 Google Cloud 上几小时内多出 1000 多美元的调用费，还把整个生产账号触发了反欺诈风控，直接停摆。最高的一位，单日未经授权的调用金额停在 1700 美元以上。

这些人的共同点只有一个：他们都在用一个叫 OpenCode 的工具，并且把自己在 Anthropic、OpenAI、Google、DeepSeek 的 API 密钥，托管在了它的云端控制台里。

OpenCode 是 GitHub 上标星超过 21 万的开源 AI 编程工具，程序员用的很多。10 月 19 日，它承认一套正在走停用流程的旧系统被未授权访问，波及云端控制台 1.4% 的用户，存放在里面的第三方模型密钥可能已经泄露。

丢的不是密码，是一把能直接花钱的钥匙

先把这个东西说清楚。

API 密钥是一串字符，作用相当于一张绑了信用卡的副卡。你在第三方工具里填上它，工具就能代替你去调用模型，花的是你的钱。它不像账号密码，被盗了还能改密码止损。密钥只要被人拿到手，对方不需要登你的账号，也不需要碰你的电脑，直接向模型厂商发请求就行，扣的是你的额度。

这次出问题的地方叫 Console，是 OpenCode 提供的云端控制台。它的用处是让人把密钥存到云上，跨设备同步，团队几个人共用一套，不用每个人都拿着原始密钥。方便是真的方便。

代价也在这里：密钥集中到了平台手里，而平台那套本该关掉的旧系统，一直挂在公网上，还留着读取密钥库的高权限通道。

安全圈对这种事的说法很朴素：不是被攻破了多坚固的城墙，是找到了一扇忘了上锁的侧门。

官方说这是模型蒸馏攻击，做模型的人不承认

事发第二天，OpenCode 给受影响用户发了警报邮件，也在社交平台发了通报。通报里除了承认漏洞和 1.4% 这个比例，还给了这场事故一个定性：与一场大规模模型蒸馏攻击相关。

模型蒸馏是训练里的常规操作，用强模型的输出去喂小模型。把这个词放到事故定性里，读起来像是在说：这是一场针对前沿模型的技术窃取，我们只是被当成了算力跳板。

这个说法几个小时内就被顶了回来。

一位做工业级模型训练的工程师指出，真正的蒸馏是一条稳定的流水线，要持续调用几百万甚至上千万对高质量的问答，才谈得上训练。而从这次泄露里被人拿去用的，是一堆个人开发者的零散密钥，刷到几百到一千美元就会因为信用卡限额、余额不足或者本人手动掐断而失效。没有哪个正经团队，会把正经活儿建在这些随时会断的钥匙上。

更直接的一句质疑是：不管拿到钥匙的人之后是拿去蒸馏、发垃圾邮件，还是挂到暗网的中转池里转卖，这件事的性质只有一个，钥匙被人拿走了。把后面可能发生的事拿来给攻击起名字，是把自己的责任往外推。

事故的细节也对得上。入侵点不是零日漏洞，是一套正在停用、却仍在运行、仍能读到生产密钥库的旧系统。

三种用法的风险，摆在一张表上

对普通用户来说，这件事真正值得记的不是谁对谁错，是不同用法各自把风险放在了哪里。

密钥存本地和托管到云端，这两行的差别就是全部重点。钥匙放在本地，出事只影响一台机器。钥匙托管到平台，出事就是一批人同时中招，而你在索赔链条上的位置很靠后。

OpenCode 联合创始人 Dax Raad 在 10 月 18 日说，攻击在过去 48 小时里没有停过，他自己的个人账号也成了目标。排查过程中还有一段插曲：团队调用前沿模型分析攻击日志，模型干到一半因为上下文里全是漏洞特征和攻击载荷，触发了安全护栏，拒绝继续处理，直到拿到专门的权限才恢复。

同类的事不是第一次。今年 7 月，Hugging Face 遭遇由 AI 智能体驱动的入侵，安全团队事后用 AI 分析 1.7 万条攻击记录，同样反复被模型的安全机制挡住，最后靠开源模型才把日志逆完。

防守方要用 AI，进攻方也在用 AI，而通用护栏分不清谁是谁。

今天就能做的四步防护自查

如果你手里有任何一个 API 密钥，不管用在哪，这四步今天就能做完。

第一步，单独建一个密钥。 不要一个密钥到处用。一个工具一个，出事时能立刻定位是哪一环漏的，也能只废掉那一个。

第二步，设额度上限。 大部分平台都能给单个密钥设月度或日度花费上限，把最坏情况锁死在一个你能承受的数上。这一步最省事，也最有效。

第三步，开账单告警。 花到某个数就发邮件或者短信。半夜被刷的人，如果有这条告警，损失会小一个量级。

第四步，翻一遍调用日志。 看有没有你没印象的模型、没跑过的时段、异常高的并发。日志里这几样东西一旦对不上，先停密钥再查原因。

还有一步，不花钱也不用技术：把不用的密钥删掉。这次出事的旧系统之所以能造成这么大范围的影响，前提是那些密钥还活着、还能用。

钱能不能要回来呢？

目前唯一明确的赔付来自 OpenAI。其安全团队成员 Tibo 公开表示，已经和 OpenCode 合作协助受影响客户恢复业务，并全额退还攻击期间被异常扣除的积分与算力额度。

Anthropic 和 Google 这边，公开信息只提到部分密钥被紧急撤销，赔付口径没有说法。

密钥泄露之后，钱能不能回来不取决于你，取决于模型厂商当时的政策，以及你能不能证明那几笔调用不是自己发的。

说到底就一句话：别把 API 密钥托管给任何第三方云端控制台。能用本地环境变量解决的，就不要往云上传。省下的那点同步和共享的力气，抵不上一次账单。

事实时效声明：本文事实核实于 2026 年 10 月 20 日。OpenCode 事故的时间线、受影响比例 1.4%、官方对模型蒸馏攻击的定性、Dax Raad 的表态、四起受害账单金额、OpenAI 全额退还额度，均来自 InfoQ 中国 2026 年 10 月 19 日报道及其援引的公开信息。OpenCode 官方公告原文与完整受影响用户名单未公开，具体处置以官方后续通报为准。Anthropic 与 Google 的赔付口径截至发稿未见公开说明。Hugging Face 7 月被入侵一事来自其公开技术报告转述。文中账单金额为个别受害者记录的个例，不代表整体损失分布。

参考来源：

• InfoQ 中国《大批 API 账户被刷爆！OpenCode 遭黑客围攻 48 小时，官方甩锅“蒸馏攻击”被质疑》：https://www.infoq.cn/article/K5J7yb60djWKM6vUZqwq
• 36 氪《GPT、Claude 余额一夜清空，OpenCode 爆雷》：https://www.36kr.com/p/4031974789353861

本文不构成任何安全审计或投资建议。

作者：快小鱼