（媒角抵加／林承志綜合報導）曾把AI服務金鑰存在OpenCode Console的使用者，可能因這起入侵被盜用模型額度。OpenCode表示，影響範圍為1.4%的Console使用者，均連結外部模型服務；OpenAI於10月19日表示，已協助透過程式使用其模型的相關客戶恢復服務，並退還遭濫用額度。台灣使用者可先查通知與帳單，再撤換受影響金鑰。

關鍵資訊

  • 受影響範圍：OpenCode稱為Console使用者的1.4%，集中在連結外部模型服務的帳戶。
  • 各家處置：OpenAI稱已退還相關API額度；Anthropic與Google團隊成員表示，已停用疑似曝露金鑰。
  • 使用者處理：到原模型供應商撤換金鑰、核對用量，再更新仍使用該金鑰的工具。

Console代存模型金鑰，費用由供應商計收

依OpenCode的Console文件，工作區管理者可填入OpenAI、Anthropic、Google等模型供應商的存取金鑰。Console保存這組憑證，再代工作區成員向模型服務發出請求，成員不必看到原金鑰也能使用模型。

API金鑰是一組辨識程式請求的憑證。別人取得仍有效的金鑰後，就可能動用持有者的模型額度，產生非本人操作的用量與費用。OpenAI的金鑰安全文件列出的風險，包括非預期費用、額度耗盡與服務中斷。

OpenCode的文件另明訂，使用自行連結的供應商時，由該供應商計收模型用量，Console則記錄請求與成本。因此，這類金鑰遭濫用後，使用者要核對的是原模型服務的用量與帳單。

公司稱影響1.4%用戶，範圍限Console連結帳戶

OpenCode在10月17日的公開公告中表示，前一晚發生資安入侵，影響1.4%的Console使用者，為其中連結外部供應商的部分帳戶；公司稱已寄信通知受影響者，並與Anthropic、OpenAI及Google合作處理。

OpenCode團隊的Dax另作說明，這次涉及的是Console，直接用於OpenCode本機工具的那些金鑰不會送到團隊手上。是否曾把金鑰存進Console工作區，成為使用者辨識這次影響範圍的具體條件。

Console保存外部模型金鑰，模型用量由供應商計費；金鑰撤換、用量與退款分別到原供應商處理（AI生成流程示意）

OpenAI稱已退額度，Google與Anthropic停用金鑰

OpenAI團隊成員Tibo（@thsottiaux）於10月19日表示，團隊已與OpenCode合作，協助同時是OpenAI API客戶的使用者恢復使用，並退還攻擊所耗用的額度。這項說明針對OpenAI API額度；OpenCode團隊也曾表示，未授權費用的退款已在進行。

Anthropic的Lydia Hallie表示，已撤銷團隊認為受到影響的Claude API金鑰，並建議曾把金鑰存入OpenCode的使用者建立新金鑰。

Google AI Studio團隊成員Evan Otero則表示，已封鎖曝露的Gemini API金鑰，並與受影響客戶及OpenCode合作。他列出的處理方式是：在AI Studio建立新金鑰、刪除舊金鑰並檢查用量；若出現非本人產生的費用，從自己的帳戶聯絡Google Cloud帳務支援。

團隊調查入侵時，也遇到AI拒答

應變過程中，OpenCode也使用AI協助調查。Dax在10月18日的公開回覆中說，模型先完成了一部分工作，後來開始拒絕協助；團隊取得OpenAI的Daybreak Blue存取權後，情況有所改善。

Tibo隨後在退款說明中提到，可申請Daybreak Blue作防禦用途。Dax也在該貼文下回覆，團隊正持續使用這項支援。

台灣使用者先查Console通知，再核對模型用量

OpenCode的公告未按國別公布受影響人數。台灣使用者若曾把外部模型金鑰存進Console，可先查看通知，再進入原模型供應商的用量與帳務頁面，核對不熟悉的使用時段或費用。Google提供的本次處置說明，已把「建立新金鑰、刪除舊金鑰、查用量、聯絡帳務支援」列為具體步驟。

OpenAI的安全文件也建議，懷疑金鑰外洩時立即撤換，並更新正式運作中的應用程式。原本共用同一把金鑰的其他工具，也要改用新金鑰，才能恢復正常請求；OpenCode文件則說明，可在供應商頁面更新Console保存的憑證。

對已收到通知的使用者，處理可從原供應商停用舊金鑰開始，再接回需要運作的工具，保存異常用量紀錄並追蹤退款。公司帳戶則由專案管理者核對哪些工作仍在使用舊金鑰，更新後再恢復服務。

資料來源與更新紀錄