OpenCode 是一个开源 AI 编程助手，作为 Claude Code 和 Cursor 的替代方案，正在开发者社区中获得关注。上周六（10月18日），该公司披露一起安全事件：攻击者入侵了一个旧版系统，影响了 OpenCode Console（在线平台）约 1.4% 的用户——该平台部分用户存储了用于访问 AI 服务的 API 密钥。
"昨晚我们发生了一起涉及大规模蒸馏攻击的安全漏洞，影响了 1.4% 的 OpenCode Console 用户，"公司在 X 上发布声明称，"今早我们已通过邮件通知了所有受影响用户。"未收到邮件的用户未受影响。
事件经过：48 小时不间断入侵
蒸馏攻击（distillation attack）是一种通过大量生成 AI 输出来提取或模仿模型能力的技术。泄露的 API 密钥可能被用于在受限制地区生成大量 AI 输出来完成这一过程。不过部分质疑者认为，将此事定性为蒸馏攻击有过度解读之嫌，实际可能只是一次普通安全入侵，其真正用途尚未得到证实。
与此同时，多位开发者在 Reddit 和 X 上发帖称收到消费警报并发现异常扣款。一位开发者写道："睡前看到 OpenAI、Anthropic 和 Google AI 的消费提醒全部触发，正在纳闷发生了什么事。"部分用户报告单个账户被扣数百美元，少数用户称总额超过 1000 美元。
厂商应对：封禁密钥 + 退款
Anthropic 和 Google 均封禁了认为已泄露的 API 密钥，OpenAI 则与 OpenCode 合作恢复访问权限，并为攻击中使用的信用额度向 API 客户全额退款。OpenCode 联合创始人 Dax Raad 强调，受影响的仅限于 Console 在线平台，开源应用和命令行工具均未受波及："请注意这是 OpenCode Console，不是 OpenCode 本身——这些密钥从未到达我们这边。"
调查受阻：AI 防御 Agent 遭遇"自家人"限制
攻击持续了整整 48 小时，OpenCode 团队不得不保持 AI 防御 Agent 全天候运行。团队起初借助 AI 模型辅助调查，但随着分析的恶意代码触发安全过滤器，这些模型开始拒绝继续工作。"这有点令人沮丧，"Raad 在 X 上写道。
随后 OpenCode 获得了 OpenAI Daybreak Blue 计划的访问权限——该计划向经过审核的用户提供限制更少的 AI 模型，显著提升了团队调查攻击的能力。
行业共振：护栏"误伤"防御者
这不是孤例。今年 7 月，AI 平台 Hugging Face 报告商业 AI 模型阻止了其分析自主 AI Agent 入侵活动日志的尝试；OpenAI 后来证实，这是其在测试中降低安全防护的自家模型。Hugging Face 在博客文章中专辟"不对称问题"一节，指出防护栏"无法区分事件响应者和攻击者"。
安全研究人员也提出类似担忧，认为这些限制措施不一致，已促使部分人转向国外开源可权重模型（open-weight models）。
此事甚至引起白宫关注。美国总统科技顾问委员会联席主席 David Sacks 在 X 上评论称："OpenCode（以及此前的 Hugging Face）在攻击中期撞上了同一堵蔷：前沿模型拒绝分析防御所需的漏洞，因为负载触发了安全过滤器。这些护栏适得其反。" 值得注意的是，攻击发生当晚 OpenCode 刚刚向用户免费开放了 GLM-5.3-Flash。GLM-5.3 系列引起了开放权重模型研究人员的关注，其网络安全能力已接近 Anthropic Claude Mythos Preview 等受限模型。
OpenCode 尚未披露攻击者如何入侵旧系统、密钥存储方式或滥用全貌。公司已告知受影响用户直接联系各提供商撤销并更换密钥，并表示事件仍在进行中。
AI 行业一周动态：融资并购、人事变动与产品更新
Anthropic 团队正在「老化」，但效率是否同步提升存疑
Anthropic 近期表示，公司员工平均资历正在变深，初级岗位占比下降。同时，一个值得注意的现象是：团队在会议中投入的时间也在增加。这一信号在 AI 行业并不常见——通常团队扩张越快，会议占比越高。该公司未透露具体数据，但内部趋势已引发关注。
Replit 转向 OpenAI：Anthropic 在 to-B 市场的警讯
Replit CEO 公开宣布，将 OpenAI 设为平台默认模型，取代此前的 Anthropic 选项。Replit 作为 AI 编程工具的重要玩家，其选择具有一定风向意义。Anthropic 近期在大客户争夺中压力增大，Claude 系列在长上下文窗口的优势是否正在被 OpenAI 的迭代速度所抵消，值得持续观察。
Character.AI 五年即申请破产，AI 聊天平台商业模式受质疑
成立仅五年的 Character.AI 已向法院提交破产申请，成为近期 AI 赛道最引人注目的失败案例之一。互动聊天机器人在 2023 年经历爆发式增长后，迅速面临监督&管理压力、用户留存困难和变现路径模糊等问题。其陨落为同类平台敲响警钟。
Bumble 13 亿美元出售，在线约会赛道面临结构性重整
约会应用 Bumble 宣布以 13 亿美元被收购。在 Tinder 等竞争对手增长放缓的背景下，整个在线约会行业正在经历用户增长触顶、获客成本攀升的困境。Bumble 的品牌溢价是否还能维持，买家的整合意图尚不明确。
特斯拉发布搭载 SpaceX 技术的飞行 Roadster
特斯拉在最新活动中展示了一款集成 SpaceX 技术的 Roadster 原型，其宣称的飞行能力引发热议。该车采用火箭推进概念，声称可在短距离内实现悬浮姿态。业内人士对其量产可行性、安全合规性普遍持保留态度。
其他动态
- FBI 逮捕 OpenAI 员工：一名 OpenAI 员工被指控在会议室安装窃听设备，已被 FBI 逮捕。案件细节尚在调查中。
- 马克·沃尔伯格入局健身赛道：演员 Mark Wahlberg 宣布推出平价健身房品牌，直接对标 Noom、Calm 等健康科技初创公司的订阅模式，主打低价+社区路线。
评论