新聞

開源AI程式碼代理工具OpenCode於10月16日晚間發生資安事故，攻擊者發動大規模蒸餾攻擊，可能取得部分使用者儲存在OpenCode Console工作區中的第三方AI服務API金鑰，影響約1.4%的Console使用者，OpenCode已透過電子郵件進行通知，並與OpenAI、Anthropic、Google合作因應此事。綜合多家媒體的報導，攻擊者鎖定OpenCode即將淘汰的系統而得逞。

OpenCode共同創辦人Dax Raad指出，本次攻擊者連續攻擊約48個小時，直到他們開始使用OpenAI的資安模型Daybreak從事防禦工作，情況才得到控制。Raad強調，此起事故僅影響Console，不影響OpenCode本身，相關金鑰也並未傳送給該公司。根據OpenCode寄給用戶的電子郵件，使用者金鑰最早遭到外洩的時間為世界協調時間（UTC）10月17日凌晨零時30分，尚未出現用戶其他資料外洩的情形。

事件曝光後，已有使用者在網路社群回報帳戶出現非本人發起的API請求與異常費用，部分個案金額達數百美元，甚至有使用者回報1,700美元的損失。此外，也有使用者表示，他們的專案因Google偵測到異常活動而遭到停用。Anthropic和Google已封鎖遭到疑似洩露的API金鑰；OpenAI表示正與OpenCore合作，協助用戶恢復運作，並退還攻擊中產生的扣款。