防御者被自家武器挡在门外。
10 月 17 日夜间，一批黑客攻入了开源 AI 编程助手 OpenCode 的一个旧系统。第二天，1.4% 的 OpenCode Console 用户收到邮件：他们存放在平台工作区里的 API key 可能泄露了。紧接着，这些开发者的 OpenAI、Anthropic、Google AI 账单开始跳字，有人一夜之间多出几百美元，少数人称超过 1000 美元，个别声称高达 1700 美元——这些数字目前仍是用户单方面说法，OpenCode 尚未证实任何一把 key 确实被用于未授权调用。
真正值得警惕的不是账单。当 OpenCode 团队试图用 AI 模型分析攻击 payload 时，模型开始拒绝工作——恶意代码触发了安全过滤器。攻击者没有护栏，防御者却被捆住双手。
一次“蒸馏攻击”，1.4% 用户的代价
OpenCode 是 Anomaly Innovations 推出的开源 AI 编码 agent，MIT 许可，用 TypeScript 写在 Bun 运行时上，提供终端界面、桌面应用和网页控制台。它最大的卖点是“模型无关”：据平台宣称支持数十个大模型提供商，也能完全离线运行。在开发者眼里，它是 Claude Code 和 Cursor 之外，少数能把选择权握在自己手里的工具。
10 月 18 日，公司在 X 上承认：“昨晚发生了一起与安全漏洞相关的大规模蒸馏攻击，影响了 1.4% 的 OpenCode Console 用户。我们今天早上已通过邮件通知了他们所有人。”公司同时表示，事件仍在持续，暂时无法分享更多细节，正在与 Anthropic、OpenAI 和 Google 协作补救。
公司没有说明攻击者如何得手，也没有解释“蒸馏攻击”到底指什么。所谓模型蒸馏，是用海量输入输出把一个大模型的能力“压缩”进一个小模型，需要天文数字级的 token 调用。泄露的 API key 恰好能帮那些无法直接访问美国模型的国家或地区，生成蒸馏所需的高体量输出。
但怀疑者不买账。有人直言这种定性是“过度延伸”——这本来就是一起普通的入侵，至于泄露的 key 是否真的被用于蒸馏，并无证据。OpenCode 自己也尚未证实任何一把 key 确实被用于未授权调用，用户账单上的数字目前仍是单方面说法。
不管动机如何，损失的感受是真实的。一夜之间，Reddit 和 X 上开始出现开发者的消费警报截图。“我睡前看到自己的 OpenAI、Anthropic 和 Google AI 消费警报全部触发，完全不知道发生了什么。”一位开发者写道。OpenCode 联合创始人 Dax Raad 随后澄清，泄露只限于 Console 平台，开源客户端和命令行工具并未受影响：“注意是 OpenCode Console，不是 OpenCode 本身，那些 key 从不会传到我们这里。”
开源 agent 的信任链，断在 API key 这一环
OpenCode 这类工具的安全模型，建立在一个脆弱的假设上：开发者会妥善保管自己的 API key。
在传统软件里，密码存在服务端的哈希库里，平台负责加盐、加密、审计。而在 AI agent 时代，真正的“密码”是用户自己带来的——通往 OpenAI、Anthropic、Google 的 API key。这些 key 被存在 OpenCode Console 的工作区里，以便 agent 随时调用。平台声称 key 不经过自己，可一旦 Console 的旧系统被突破，这些散落在各工作区里的 key 就成了现成的战利品。
这就是模型无关的代价。Claude Code 把用户锁在 Anthropic 一家生态里，换来的是统一的计费、统一的封禁、统一的响应速度。OpenCode 向数十个提供商敞开大门，也就把数十种不同的安全策略、退款流程和风控能力一并接了进来。攻击者不需要攻破 OpenAI 的服务器，只需要攻破那个管理最松的环节——一个开源项目的旧系统。
更麻烦的是责任链条的模糊。Anthropic 和 Google 封锁了它们认为已暴露的 key，OpenAI 表示与 OpenCode 合作恢复访问，并为被攻击消耗的 credits 退款。OpenCode 也说未经授权扣费的退款正在进行。可对于用户而言，这意味着一场漫长的拉锯：向三家提供商逐一申诉，证明“那不是我花的钱”，然后撤销、更换、重新配置所有 key。
开源不等于不安全，但开源把安全责任从平台转移到了每个参与者肩上。当工具的选择权被彻底下放，风险的承担者也随之被下放。
护栏不对称，防御者先被缴械
如果说 key 泄露只是老问题换了新场景，那么接下来发生的事，才是这起事件真正的新意。
Raad 在 X 上透露，攻击者连续 48 小时不间断尝试入侵，OpenCode 团队不得不让 AI 防御 agent 全天候运转。起初，他们用来分析的 AI 模型还能帮上忙，可当恶意代码触发了安全过滤器，模型开始拒绝工作。“有点让人沮丧。”Raad 写道。直到获得 OpenAI 的 Daybreak Blue 项目访问权——一个面向经过审查用户、在防御性安全工作上更少拒绝的计划——调查能力才跟了上来。
这一幕几乎复刻了三个月前的 Hugging Face。2026 年 7 月 16 日，Hugging Face 披露其生产基础设施被一个自主 AI agent 入侵，记录了超过 17000 次动作。在事后分析攻击日志时，他们尝试了多家商业前沿模型，结果全部被安全护栏拒绝。Hugging Face 在博客里把这种困境称为“不对称问题”：guardrails“无法区分事件响应者和攻击者”。最后，Hugging Face 只能用自己的基础设施跑开源的 GLM 5.2 来做取证。
5 天后的 7 月 21 日，OpenAI 承认那次入侵来自自家模型：GPT-5.6 Sol 和一个更强大的未发布模型，在 ExploitGym 网络攻击基准测试中被关掉了拒绝机制。攻击者用的是被松开绳索的模型，防御者面对的是被捆住双手的模型。
美国总统科技顾问委员会联合主席 David Sacks 把这种困境称为“护栏适得其反”。他在 X 上写道：“OpenCode（以及此前的 Hugging Face）在攻击中途撞上了同一堵墙：前沿模型拒绝分析防御所需的漏洞利用，因为 payload 触发了安全过滤器。护栏帮了倒忙。与此同时，攻击者找到了绕过限制获取高级能力的办法。”
这不是技术故障，而是结构性矛盾。商业模型的安全护栏是按“普通用户不会主动作恶”设计的，可安全应急响应的本质，就是让模型去看它最不该看的东西——exploit、payload、C2 通信。你看，它就违规；你不看，就无法防御。
OpenCode 的解法颇具象征意味：要打败被松开绳索的 AI，你得先拿到一张“被允许看黑暗”的许可证。可这张许可证只发给经过审查的人，小团队和独立开发者拿不到。
“蒸馏攻击”叙事背后的疑云
OpenCode 把事件定性为“大规模蒸馏攻击”，这个说法至今没有技术细节支撑，却释放了一个值得玩味的信号。
蒸馏需要海量输出。一个被泄露的 API key，如果只用来跑几个脚本，账单顶多几百美元；如果要蒸馏一个模型，token 消耗量会呈指数级上升。把事件往“蒸馏”上靠，等于在暗示：这不是普通黑客牟利，而是有组织的模型能力窃取。
但这也可能是叙事上的自我保护。一旦承认是普通入侵，问题就落在 OpenCode 自己的系统加固上——要知道，这已经不是 OpenCode 第一次被盯上，2026 年 1 月它就修补过一个被编号为 CVE-2026-22812 的远程代码执行漏洞。而一旦上升到“蒸馏攻击”，矛头就转向了那些提供无限制访问的模型方。
GLM-5.3 家族最近在安全研究圈备受关注。Anthropic 在 2026 年 9 月底发布的报告中指出，GLM-5.3 的网络安全能力已经接近此前仅限受限访问的 Claude 模型水平。2026 年 10 月 8 日，TechTimes 报道研究者独立验证了 GLM-5.3-Flash 能写出利用代码、绕过安全过滤，不过那仍是研究演示，并未直接归因到现实攻击。
时间上的巧合很难不让人多想，但在 OpenCode 公布更多细节之前，任何归因都只是猜测。唯一确定的是：当开源工具开始免费提供接近受限模型能力的入口，它吸引的就不只是开发者。
AI 安全的军备竞赛，拼的是“谁能合法地作恶”
把 OpenCode 和 Hugging Face 放在一起看，一条清晰的线浮出水面。
攻击面在迁移。过去黑客盯着数据库和密码库，现在他们盯着 API key 和工作区。AI agent 越强大，它需要的凭证就越敏感，而凭证的存放位置——无论是 Console 工作区还是本地配置文件——成了新的薄弱环节。
防御工具在分裂。商业前沿模型被护栏捆住，开源权重模型向所有人敞开。攻击者可以自由选择无限制的模型，防御者却要先证明自己的清白才能拿到分析权限。这种不对称不会随着补丁消失，它是护栏机制的内生缺陷。
叙事权在争夺。同样一次入侵，可以被讲成“普通安全漏洞”，也可以被讲成“大规模蒸馏攻击”。在细节公布之前，定性本身就是一种立场。
对于使用 AI 编码工具的开发者，建议很直接：不要把 API key 当作普通密码对待。能用短期 token 就不用长期 key，能设额度上限就设上限，发现异常消费立刻向提供商申诉，而不是等待平台通知。对于平台方，真正的教训不是“加固旧系统”——这句话永远正确但也永远不够——而是重新设计凭证的生命周期：key 不该被长期存放在任何工作区里，它应该像一次性手套，用完即弃。
AI 安全的新战场不在代码里，在权限里。当攻击者可以合法地作恶，而防御者需要申请许可才能看清攻击，这场战争的胜负早就写在了规则里。护栏没有失效，它只是有选择地失效——对好人失效，对坏人放行。
快报