10 月 17 日，開源 AI coding agent OpenCode 在 X 上披露前夜發生安全事件：攻擊者入侵其舊系統，波及線上平台 OpenCode Console 的 1.4% 使用者，官方當天上午已通過郵件通知全部受影響使用者，並表示未收到郵件者不受影響。OpenCode 稱此次事件與一次大規模蒸餾攻擊有… 看完整事件
OpenCode Console 遭入侵，1.4% 使用者 API 金鑰洩露並被刷費
OpenCode 稱攻擊者夜間入侵其舊系統，波及線上平台 OpenCode Console 的 1.4% 使用者，部分人存放在工作區裡的 AI 服務 API 金鑰洩露，Reddit 和 X 上隨即出現數百至上千美元的未授權扣費。Anthropic 與 Google 已封禁相關金鑰，OpenAI 表示已與 OpenCode 合作恢復訪問，並退還受影響客戶被消耗的額度，OpenCode 稱退款正在進行。
暴露了 coding agent 託管平台集中存放 API 金鑰的現實風險：1.4% 使用者被刷走數百至上千美元，也再次帶出前沿模型因安全過濾拒絕分析攻擊程式碼、妨礙防禦的困境。
原標題：Hackers hit AI coding tool OpenCode, running up charges on users’ AI accounts
閱讀原文
| 評分 | 78 / 82（平均 80，門檻 76） |
|---|---|
| 狀態 | 精選 |
相關報導
OpenCode v1.18.35 發布：修復 xAI 工具結果圖片傳遞
OpenCode 發布 v1.18.35，核心改進是新增 canonical redirects，並提供 JSON 與 Markdown 兩種格式的 agent 可讀統計資料。本次修復讓 xAI 的工具呼叫結果可以攜帶受支援的圖片，不支援的圖片格式會被跳過，做法是把 @ai-sdk/xai 升級到 3.0.139。文件方面，Zen 文件新增 Fledge Alpha Free，生態外掛列表加入 opencode-supabase，該版本同時致謝 3 位社群貢獻者。
OpenCode v1.19.1 停止會話分享功能
OpenCode 發布 v1.19.1，最重要的改動是停止會話分享：已有分享連結與會話分享命令不再可用，從分享 URL 匯入會話也不再支援，該項列在 Core 的 Bugfixes 下。發布者為 opencode-agent，日期為 2026 年 10 月 15 日，相對上一版本沒有新增提交（0 commits），除會話分享外未提及新模型或其他功能變化。該版本被標記為不可變發布（Immutable），僅標題與說明可修改。
OpenCode 1.19.0 發布，更新改為手動安裝，可升級至 OpenCode 2
OpenCode 發布 v1.19.0，使用者可通過 opencode upgrade --major 升級到 OpenCode 2；TUI 內改用 /update 來安裝更新或完成升級，更新不再自動安裝。本次還允許使用 OpenAI ultrafast 服務層級，並在檢查 PTY 是否存在前先校驗 PTY 連線來源與票據。另有社群貢獻者提交 Exo 用量統計歸屬修復及 Zen 文件條目增刪。
使用者報告 OpenAI API 帳戶與 Codex 積分異常清零
一名長期使用者在 Reddit 發帖稱，其 OpenAI API 帳戶歷史記錄、發票和餘額全部消失，同時 Codex 帳戶的 60000 積分在一次重新整理後歸零。該使用者表示累計消費超過 2000 美元，並發現組織 ID 已變更，但自己從未建立過其他組織。目前尚無官方回應或其他使用者報告同類問題。
OpenCode 2.0 發布：MCP 預設啟用 Code Mode，新增後臺子代理
OpenCode 2.0 是一次大規模重構，核心新功能是 Code Mode：用 @opencode/codemode 包內建的極簡 JavaScript 直譯器，把 MCP 伺服器與 OpenAPI 端點轉成代理可呼叫的函式，2.0 中所有 MCP 伺服器預設啟用 Code Mode，一次指令碼就能串起多個工具呼叫，減少往返。服務端也改為在本地自動以單一後臺程序執行，TUI、Web 與桌面端共用同一程序，並推出 @opencode/client 客戶端包與從頭重寫的 API。