OpenCode Console 遭入侵，OpenAI、Anthropic 和 Google 的 API 密钥可能已泄露

事件经过

据该公司称，一名入侵者于 10 月 16 日夜间侵入了 OpenCode 的一套旧系统，用户保存在 OpenCode Console 中的第三方 AI 服务商密钥可能已因此泄露。OpenCode Console 的泄露风险可能已影响 OpenAI、Anthropic 和 Google 的 API 密钥。 作者：Swati Khandelwal 2026 年 10 月 19 日 数据泄露 / 人工智能 据该公司称，一名入侵者于 10 月 16 日夜间侵入了 OpenCode 的一套旧系统，用户保存在 OpenCode Console 中的第三方 AI 服务商密钥可能已因此泄露。

OpenCode 命令行和桌面应用会将用户在本机添加的服务商密钥保存在一个 SQLite 数据库中。Console 是 OpenCode 提供的可选托管服务：工作区可以在其中保存自己的 OpenAI、Anthropic 或 Google 密钥，Console 使用该密钥调用相应服务商，使团队成员无需看到密钥即可使用这些模型。

受影响的用户为 Console 用户中的 1.4%，他们都关联了外部服务商。OpenCode 已通过电子邮件通知这些用户，要求他们在各服务商处撤销相关密钥并更换新密钥。该邮件于 10 月 17 日上午发出，主题为“需要采取行动：可能发生服务商密钥泄露”。

同日晚些时候，OpenCode 在 X 平台上发帖称，未收到该邮件的用户不受影响。风险仅限于粘贴到 Console 中的密钥。

服务商密钥属于持有者凭证，任何持有副本的人都可以使用该账户发起计费请求，直至服务商将其撤销。仅在 Console 中删除密钥并不会使其失效，而 Console 的预算功能也无法限制此类用量，因为 Console 只能看到经过其自身网关的请求。

对于保存在 Console 工作区中的密钥，OpenCode 的邮件和各服务商的官方指引给出以下步骤：在服务商自己的控制台中撤销该密钥并创建新密钥，具体操作请参照 OpenAI、Anthropic 或 Google 的说明。同时，请在服务商处检查用量和账单，查找自 10 月 16 日起（至少）您并未发起的请求。