开源AI编程代理OpenCode已成为Claude Code和Cursor之外的热门替代方案，但其在线平台的部分系统近日遭到黑客入侵，部分用户的API密钥被窃取。

攻击者利用窃取的密钥在用户AI账户上产生费用，给受影响用户带来直接经济损失。目前尚不清楚具体有多少用户受到影响，也不清楚平台方是否已完成密钥吊销与安全加固。

更值得关注的是，事件中OpenCode曾调用AI工具协助排查恶意代码，但这些工具反复拒绝查看相关代码，暴露出AI安全工具在应对真实攻击场景时的能力边界。

此次事件再次提醒开发者：在第三方平台上托管API密钥存在风险，应加强密钥轮换与访问控制，并对开源AI工具的平台侧安全能力保持审慎评估。