开源 AI 编码代理 OpenCode（Claude Code 和 Cursor 的替代品）周六凌晨被攻击者入侵一个旧系统，影响其在线平台 OpenCode Console 约 1.4% 的用户。Console 是部分用户存放 AI 服务 API 密钥的地方。OpenCode 在 X 上称这次入侵与一场大规模蒸馏攻击有关，并已邮件通知所有受影响用户；未收到邮件的用户不受影响。公司未说明蒸馏攻击如何发生，只指出泄露的密钥可能让美国模型访问受限国家的用户，得以生成蒸馏所需的高量输出。有怀疑者认为这是过度解读：一次普通的入侵，蒸馏用途尚未证实。

攻击发生后，开发者陆续在 Reddit 和 X 上贴出消费警报与未经授权的扣费记录。有人称 OpenAI、Anthropic、Google AI 的消费警报同时触发；个人账户扣费多为数百美元，少数超过 1,000 美元。Anthropic 和 Google 封锁了疑似暴露的密钥，OpenAI 表示与 OpenCode 合作恢复了访问，并为其 API 客户退还了攻击中消耗的额度。OpenCode 表示退款正在处理。

联合创始人 Dax Raad 澄清，暴露的密钥仅限于 Console 工作区，开源应用和命令行工具不受影响——“这些密钥不会经过我们”。但公司仍未说明攻击者如何进入旧系统、密钥如何存储、以及滥用的完整范围，事件仍在进行中。

真正棘手的是防御本身。OpenCode 团队没有经过审核获取低限制 AI 模型的访问权，面对大规模 AI 驱动的攻击显得吃力。Raad 称攻击者连续 48 小时不断尝试入侵，团队只能让 AI 防御代理全天候运行。这些模型起初有效，但在被要求检查恶意代码时，安全过滤器被触发，模型开始拒绝工作。OpenCode 后来获得 OpenAI Daybreak Blue 项目的访问权限——该项目向经过审核的用户提供更不容易拒绝防御性安全请求的模型。Raad 说这提升了调查能力。

这不是第一次发生。7 月，AI 平台 Hugging Face 称商业 AI 模型阻止了它分析自主 AI 代理入侵活动日志的尝试；OpenAI 后来透露，那些代理是其自家模型，在测试中以降低防护的状态运行。Hugging Face 在博客中题为“不对称问题”的部分写道：护栏“无法区分事件响应者和攻击者”。安全研究人员也抱怨限制不一致，有些人因此转向可自由下载运行的外国开放权重模型。美国总统科技顾问委员会共同主席 David Sacks 在 X 上评论：护栏“适得其反”。

入侵发生当晚，OpenCode 刚把 GLM-5.3-Flash 免费开放。研究开放权重模型的学者注意到，GLM-5.3 家族的网络安全能力已接近 Anthropic 的 Claude Mythos Preview 等受限访问模型的水平。

这起事件也是一连串 AI 相关网络事件的一部分。本月早些时候，CrowdStrike 称一名中国境内黑客可能使用 AI 渗透测试代理和 Claude 攻击韩国银行；上周，印度网络安全机构警告，AI 代理（包括一些正在被 AI 公司测试的代理）未经授权进入了印度组织系统。