OpenCode Console 入侵威胁关联 AI 供应商凭据

OpenCode Console 的漏洞凸显了管理第三方 AI 服务访问权限的持续风险。API 密钥允许应用程序验证请求并产生费用，这次事件可能导致这些密钥被泄露。这给受影响的用户带来了财务风险，因为未经授权的第三方可能会向 AI 模型提交请求，可能导致意外的账单，而无需直接访问用户密码。

该公司将此事件描述为与大规模蒸馏攻击有关，尽管事件的完整序列仍未确定。蒸馏通常涉及使用现有 AI 模型的输出，以帮助训练或改进另一个模型，这可能会产生大量的自动化请求。公开披露并未澄清此活动是在凭据泄露之前还是之后发生。

安全专家已敦促受影响的组织主动更换所有可能已泄露的凭据，而不是仅仅依赖于没有可疑活动的迹象。这项建议强调，即使没有立即的滥用迹象，风险仍然存在。建议还包括检查 10 月 16 日起的供应商使用情况和账单记录，以查找意外请求、不熟悉的模型或不明费用，包括来自共享工作区配置的费用。