发生了什么
10 月 17 日，开源编程工具 OpenCode 官方账号发帖说，前一晚发生了一起与大规模蒸馏攻击有关的安全事件，影响约 1.4% 的 OpenCode Console 用户，都是绑定了外部模型服务的用户，受影响者已收到邮件通知。
随后，Anthropic 的 @lydiahallie 发帖表示，他们和 OpenCode 一起处理此事，已经吊销了他们认为受影响的 Claude API Key；如果你在 OpenCode 里存过 Key，想更稳妥，就新建一个。@pcherkashinX 转述了这条消息，建议存过 Key 的人直接轮换。
@moortekweb 的经历更直接：他说自己的 Anthropic API Key 只保存在 OpenCode 工作区里，10 月 16 日到 17 日夜间被人刷掉了约 160 美元的 Claude 额度，提醒邮件到的时候钱已经没了。
存过 Key 的人现在该做的 5 件事
- 删掉旧 Key，新建一个。 据 Claude 帮助中心，怀疑 Key 泄露时应立即吊销：登录 Claude Console，进入 API keys 页面，点对应 Key 右侧的三个点，选「Delete API Key」，再点「Create Key」新建。删除不可撤销，记得先确认哪些程序还在用它。
- 查一遍用量。 在 Console 的 Usage 和 Cost 页面看最近几天有没有不认识的调用、陌生的模型或异常时段。
- 设消费上限。 在 Billing 页面给组织设一个低于档位上限的月度消费限额；用了工作区的，还可以在工作区的 Limits 里单独设上限和金额提醒。上限到了请求会被拒，比事后发现账单好得多。
- 一个工具一个 Key。 给每个第三方工具、每个项目分别建 Key，最好放在不同工作区。某个工具出事，只删那一个，不用全部重来。
- 谨慎对待自动充值。 官方建议仔细设置自动充值的阈值和额度，它虽然保证服务不断，但 Key 一旦泄露，也会让损失继续扩大。
一个容易忽略的点
官方帮助页写得很明白：把 API Key 填进第三方工具或平台，就等于让这个工具的开发者能够使用你的 Console 账户。工具再好用，也要先想清楚自己信不信任它，以及万一它出事，你最多愿意损失多少。
如果你想在一台常开、整机独享的机器上长期跑 Claude Code，Zumac.Ai 提供新加坡远程 Mac mini M6 租用：家庭宽带 ¥799/月，商用IP ¥999/月，咨询 Telegram @singatao。
