OpenCode Console 旧系统遭入侵，OpenAI 与 Anthropic 等密钥或泄露

2026-10-17 前后，“OpenCode 遭入侵、用户凭证泄露”的说法开始流传，不少人第一反应是检查自己日常使用的本地 CLI。2026-10-24 10:00，DEV Community · AI 刊发文章澄清，被未授权访问的其实不是本地 CLI，而是可选的托管服务 OpenCode Console。Console 的作用是让团队把 provider 账户接入后共享，provider 凭证保存在服务端；本地编码 agent 则把密钥留在用户自己的磁盘上，二者只是同名。作者表示，自己因两者同名而花了不少时间逐项确认自己并未受影响。文章还提到，团队称遭到未授权访问的是一套正在下线的旧系统。

2026-10-25 22:00，DEV Community · AI 再次发文，补充了官方通知的更多细节。OpenCode 在 17 日向受影响的 Console 用户发出邮件，标题为「Action Required: Potential provider key breach」，说明攻击者未经授权进入了其正在下线的旧系统，保存在工作区中的第三方密钥可能已经泄露，其中明确包括 OpenAI、Anthropic 的 key。文章随后对照 OpenCode 产品页上的信息梳理了这则通知，并讨论了把厂商密钥托管在第三方控制台的实际代价。截至目前，已披露的信息仍停留在邮件通知与媒体梳理阶段，未见官方发布后续处置结果或修复进展的公开说明。