别人搞大模型蒸馏烧自家的钱，这帮黑客倒好，直接偷开发者的 API Key 去跑蒸馏。 OpenCode 昨晚出了安全事故，大约 1.4% 的 Console 用户中招。 受影响的全是在里面绑定了外部模型厂商 API Key 的人。 目前 OpenCode 正在联合 Anthropic、OpenAI 和 Google 一起擦屁股。 Anthropic 动作很快，已经把受波及的 Claude Key 批量吊销了，还顺带提醒了一句：只要你在 OpenCode 里存过 Key，不管有没有收到通知邮件，稳妥起见最好现在就去换个新的。 看完这事，我觉得最值得留心的，是黑客盯上普通人 API Key 的动机变了。 以前这玩意被盗，多半是被拿去套壳卖二手额度。 但现在御三家对“模型蒸馏”防得特别死，谁想拿头部大模型批量刷数据去喂自己的模型，新注册的账号刚跑起来就会被风控按死。 我觉得这帮人就是算准了这一点，才专门去黑 OpenCode 这种聚合工具。 因为开发者绑在里面的 Key，背后全是实打实的正常老号，有日常调用记录、有高并发配额。 把这批分散在普通人手里的 Key 凑一块跑数据，在大厂风控眼里就像正常的开发流量，顺手还能让号主把昂贵的 Token 账单给结了。 这事如果你平时只用官方网页版订阅，基本不用操心。 但只要你习惯在各种第三方客户端、开源工具里填自己的 API Key，安全逻辑就得改改了。 你的 Key 存在别人服务器上，一旦托管方被端，黑客连你账号的“清白身份”和绑定的信用卡额度一块拿走。 所以真要在外部工具里填 Key，千万记得去官方后台把每月消费上限锁死，最好一个工具单独开一个子 Key，不用就删。 我还是先把前阵子到处乱填的那几个 Key 挨个注销了吧，万一哪天一觉醒来账单爆表，莫名其妙成了某个野鸡大模型的野生天使投资人，那可太冤了。