OpenCode 出了安全事件，本地用过的人也要换密钥吗？

安全问题是什么

北京时间 2026 年 10 月 18 日早间，OpenCode 确认发生安全事件，官方将其与大规模模型蒸馏攻击联系在一起，但未披露具体技术细节。Notebookcheck 披露的通知邮件显示，有人未经授权访问了一个正在退役的旧系统，工作区内保存的外部供应商 API 密钥可能因此暴露。

Anthropic 的 Lydia Hallie 随后在 X 上表示，团队正配合处理，并已撤销其认为受影响的 Claude API 密钥；用户若希望更谨慎，也可以自行创建新密钥。

影响哪些人

本次事件波及了 1.4% 的 OpenCode Console（云端控制台）用户，且仅限于绑定了外部供应商的部分群体。官方称已通过邮件通知受影响者，没有收到邮件的用户未受影响。

这不能推导出所有本地用户的密钥都已失窃。OpenCode 文档显示，本地连接命令添加的密钥保存在本机配置文件中，与遭入侵的云端旧系统不在一处。核对依据主要有两个：是否在云端控制台存储过密钥，以及邮箱是否收到安全提醒。

怎么解决

风险已经显现。在 Reddit 社区中，网友 iconiconoclasticon 表示，在本人没有调用的情况下突然收到了来自 Claude 和 OpenAI 的用量提醒。

API 密钥不同于登录密码，单纯修改 OpenCode 平台密码无法让暴露的钥匙失效。受影响用户应直接登录 OpenAI、Anthropic 或 Google 等后台，手动撤销（Revoke 或 Delete）旧密钥并生成新密钥，随后更新应用配置并核对近期账单。所有操作均需在官方后台独立完成，切勿将密钥发送给他人。

OpenAI的Tibo发帖表示，团队已与OpenCode合作，帮助受影响的OpenAI API客户恢复使用，并退还攻击造成的额度扣减。这则说明涉及这部分OpenAI API客户，未提及其他厂商或中转用户；官方退款也不替代个人的安全核查，大家仍应撤销受影响的密钥并仔细核查账单。