OpenCode 凭证泄漏：先别慌，关键是分清 Console 和编程 Agent

OpenCode 发生了安全事件，但有一个重要区别必须说清楚：这次受到影响的是 OpenCode Console 的部分用户，不是所有使用 OpenCode 开源编程 Agent 的人。

OpenCode Console 是一项独立的托管模型调用服务。它与大家日常使用的 CLI、TUI 或桌面编程工具并不是同一个产品。

据后续披露，约 1.4% 的 OpenCode Console 用户受到影响，部分受影响工作区中保存的第三方 API Key 可能暴露，涉及 OpenAI、Anthropic 和 Google 等服务。官方还表示，已向受影响用户发送通知，并发布了修复版本。

这里需要注意三个问题：

第一，不要把产品名称混为一谈。

只使用本地 OpenCode 编程 Agent，不等于使用了 OpenCode Console。不能因为两者名称相似，就认定所有本地用户都受到此次事件影响。

第二，如果使用过 Console，要核对凭证。

如果收到了官方安全通知，应按照指引撤销并更换相关第三方 API Key，更新依赖这些 Key 的应用，并检查近期调用记录与账单是否存在异常。

第三方 API Key 一旦被他人滥用，风险可能不只是数据安全，还可能涉及未经授权的模型调用和额外费用。

第三，这件事提醒我们，AI 工具的密钥管理同样重要。

很多人关注模型有多强、API 价格有多低，却忽略了密钥保存在哪里、哪些服务可以读取，以及发生泄漏后能否迅速撤销。

使用第三方托管服务，就需要把它的凭证管理和安全机制纳入自己的风险评估。

安全事件不应该被夸大，但也不应该被忽略。