10 月 17 日这一天，同一个赛道上出了两条方向相反的消息。

DeepSeek 把 V4.1-Flash-1017 的权重用 MIT 协议放上 Hugging Face，agent 任务的价格被压到一次两毛钱。十几个小时之后，OpenCode 在 X 上承认，它前一晚被一次“大规模蒸馏攻击”打穿，约 1.4% 的 Console 用户存在工作区里的 OpenAI、Anthropic、Google API Key 可能已经泄露。

一条说 agent 变便宜了，一条说 agent 变贵了。贵的那部分不写在定价表上，写在你从来没打开过的那张账单里。

今天还有这几件事

• DeepSeek V4.1-Flash-1017：Terminal-Bench 4.0 从 31.2 涨到 42.3，价格一分没动。
• OpenAI 又披露 4 起 agent 越界：全部发生在 6 月，其中 3 起到 8、9 月才发现。
• 阿里通义开源 OpenGCUA 与 MAI-Gym：给电脑操作类 agent 一套通用底座，OSWorld-v2 涨 19.6 点。
• 具身智能同日两条：Neo1 四米高人形机在工博会上举 500 公斤，Hugging Face 把 399 美元的开源双足机器人卖出了 260 万美元首日营收。
• agno 3.1.4：让 ClaudeAgent 与 CodexAgent 跑在按会话隔离的沙箱里，容器挂了能从检查点恢复。

发生了什么

时间线不长，但顺序很关键。

10 月 17 日 17:56 UTC，也就是北京时间 18 日凌晨 1 点 56 分，OpenCode 官方账号发出第一版说明：前一晚发生安全事件，与一次大规模蒸馏攻击有关，影响约 1.4% 的 Console 用户。十二分钟后补了一句更重要的：受影响的只是“绑定了外部模型服务商”的那部分人，其余人没收到邮件就是没被波及。

邮件里写得更具体。有人未经授权访问了一套“正在走停用流程的旧系统”，你在工作区里保存的第三方 provider 密钥，包括 OpenAI 和 Anthropic，可能已经暴露。官方给的动作很直接：去每家 provider 的后台吊销、重新签发、更新应用、核对 10 月 17 日以来的用量。措辞也留了余地——目前没有证据显示其他数据泄露，也无法确认这些 Key 是否已经被恶意使用，调查仍在进行，正与三家实验室合作处理。

用户侧的证据比公告早。有人在美东时间凌晨两点发现 Anthropic 账户被刷了 400 美元；有人说 Google Cloud 那边累计约 200 欧元，项目还因为“过度滥用”被停掉；论坛里还有人报 1700 美元。这些都是用户自述，OpenCode 没有确认。但它们和“Key 被拿去大量调用”这个假设完全吻合。

同一天，Anthropic 的 Lydia Hallie 表示已经吊销了他们“认为受影响”的 Claude API Key。OpenAI 和 Google 当晚没有公开表态。

数字上，这条推文拿到 61.9 万浏览、5800 个赞，Hacker News 四小时 542 分。四天前 OpenCode 2.0 发布时那条是 848 分。联合创始人 Dax Raad 事后在自己的账号上写：现在连我个人的账户也在被攻击，这波 AI 自动化黑客攻击真是打开了一个全新的世界。

黑客要的不是密码，是额度

把这次事件和过去十年的数据泄露放在一起看，标的物换了。

以前偷的是 PII、信用卡、密码、源码。这些东西的价值在“信息本身”，泄露之后可以卖、可以勒索、可以撞库。这次偷的是另一类东西：别人的推理额度。它不产生任何数据，它产生算力。

为什么是算力？因为要训一个能打的小模型，最贵的燃料是高质量的思维链和代码轨迹。正规路径是按 token 付钱去采，量级从几百万到上千万美元不等；而且三家的服务条款都禁止用自家模型的输出去训练，后台风控专门盯着“单个账号大规模重复请求”这个特征。

用几百个真实开发者的 Key 分散调用，等于把一个可疑的大户，拆成了几百个看起来正常的小用户。每一次 token 消耗都记在受害者的账上，攻击者自己的成本接近于零。

所以标的不是随便哪个 SaaS，而是“同时握着好几家 provider 密钥的聚合器”。一台旧系统，就是三家实验室的侧门。这条推理链也解释了为什么偏偏是 OpenCode：它要先向用户收 Key，才能提供“一个界面随便切模型”的体验。

从更长的周期看，这是压力的转移，不是新增。实验室从今年年初起就在收紧直连渠道和账号风控，蒸馏的需求没消失，供给路径就往下游挤——挤到链条上最弱、同时握着最多钥匙的那一环。加密行业早有对应的剧本：跨链桥之所以被反复攻击，不是因为它最值钱，是因为它一处存着好几条链的资产。

计量计费让泄露变成持续出血

静态数据的泄露有“窗口期”这个概念：泄露、发现、轮换、结束。密码改了，事情就停在那里。

API Key 不是这个结构。token 计费是实时扣款，只要攻击者还在调，钱就还在走。没有人按停止键，它不会自己停。

更麻烦的是谁先知道。这次不少人是先收到 OpenAI 和 Anthropic 的用量提醒，之后才收到 OpenCode 的邮件。真正的告警顺序是：账单先响，provider 后动，工具方最后通报。原因不复杂——按账户聚合、按时间计费、带阈值提醒的，本来就是账单系统。

所以在“能不能止血”这件事上，工具方是链条末端。

而受害者的第一反应往往是三件没用的事：改登录密码（Key 不是密码，改密码不影响它）、在工具设置里删掉 Key（那只是删掉你这边的一份副本，签发方那份还活着）、关掉本机程序（更没关系，调用是从别人的机器发出来的）。唯一有效的动作只有一个：去签发方的后台把旧 Key 作废。

1.4% 是个错误的分母

通报里最容易被误读的就是这个数字。

1.4% 是 Console 用户的比例，不是全部用户，也不是 Key 的比例。Console 是托管和订阅那一侧，而受影响的又是其中“绑了外部 provider”的子集。也就是说，1.4% 里的人不是随机抽样，是主动为了“一个界面调所有模型”把 Key 交给第三方的那批人——他们通常额度最高、CI 集成最深、Key 活得最久。

命中率不高，但命中的都是高价值样本。

而且绝对数没有披露。1.4% 乘上一个没公开的分母，换算不出受害规模，这是通报里最该补上的一项。

同一天还有一层反差。10 月 17 日凌晨，OpenCode 才宣布免费接入智谱的 GLM 5.3 Flash 和 Reflection 的 Beam（100 万 token 上下文），那条消息在 X 上拿了 192 万浏览、1.75 万个赞。增长最快的时刻，恰好是风险敞口最大的时刻。

这不是道德问题，是这个模式的必然：免费送模型要靠聚合多家 provider，聚合就要收 Key。增长的燃料，和风险的入口，是同一件事。

“正在下线的旧系统”是全场最该抄下来的一句话

这句描述的是一个很普遍的状态：还在跑，还在存东西，但已经不在任何人的排期里。

下线从来不是一个删除动作，是一个迁移项目。而迁移项目的收益是负的——它不产生新功能，只消灭风险。所以在优先级排序里它永远排在最后，永远被更急的事情挤掉。攻击者的成本结构正好相反：一台没人看的老机器，是最便宜的目标。

同一个帖子里还有个细节值得记：Hacker News 上有评论翻出 68 天前一篇质疑 OpenCode 数据处理的帖子，当时被当成噪音处理掉了。

另外还有一个很错位的安慰。OpenCode 的文档早就写过，它不对 agent 做沙箱隔离，建议你自己上 Docker 或者虚拟机。这句话是诚实的，但它保护不了这次的 Key——Key 根本不在沙箱里，在控制台里。沙箱解决的是“agent 在我机器上乱跑”，不解决“凭据被第三方代管”。这两件事经常被混成一件，混完之后你会觉得上了沙箱就安全了。

撤销权不在保管者手里

OpenCode 这次能做的是通知、建议、配合调查。它没办法单方面让那些 Key 失效，因为它不是签发方。

真正把闸拉下来的是 Anthropic：当天就批量吊销了它认为受影响的 Claude Key。OpenAI 和 Google 当天没有声音。

这就构成了一个很别扭的局面：唯一有能力快速止血的一方，信息最少；掌握全部信息的一方，没有止血的能力。结果伤口的宽度由“你接了几个 provider”决定——三家就是三个后台、三次吊销、三轮 CI 更新，外加三个团队成员本地配置的排查。

当 agent 工具开始普遍代管凭据，“一键撤销”的义务该落给谁？现在的答案是没人。我认为这一年内，“支持按安全事件批量 revoke”会和“支持 SSO”一样，变成采购清单上的固定项。这比再多的沙箱宣传都更能止血。

本地跑并不等于安全

Hacker News 上有个派别，第一反应是：我只在本地跑，不经过它的服务器，不关我事。

这句话大概率是对的，但结论是错的。

问题不在托管位置，在凭据形态。这次的 Key 满足五个条件：长期有效、没有额度上限、没有 IP 绑定、没有使用场景限定、能在任何地方用。满足这五条的凭据，放在云端控制台还是放在你本地的 .env 里，危险程度差别不大——后者只是换了个更容易被 git commit、更容易被打进 Docker 镜像、更容易在共享屏幕时被看见的地方。

真正的解法是把“寿命”和“场景”写进凭据本身：一个任务一个作用域，任务结束凭据就死，被偷了也用不上第二次。这块 provider 侧目前几乎是空白，空白到什么程度呢——出事后一个小时内，评论区已经有人在兜售这类产品了。

今天就能做的三件事

不用等 provider 出方案，现在能做的其实就三道闸门。

第一道是寿命。每个工具单独签一把，不要一把 Key 到处贴。出事的时候你只需要废掉一把，而不是把整条流水线停掉重配。

第二道是上限。每把 Key 设月度硬顶，用量告警推到手机上。400 美元的账单之所以能发生，不是因为攻击者手快，是因为那把 Key 从来没被设过上限——它的默认状态是“能花多少花多少”。

第三道是归属。你得知道每一笔钱是谁花的。Vercel 今天给 AI Gateway 加了 Sessions 视图，把请求按 coding agent 归集，每个 session 列出成本、模型、provider 和缓存命中率。这种“按 agent 记账”的能力，比事后翻月度账单有用得多，因为异常在小时级就能看出来。

顺手再补两件小事：清掉那些你早就不用、但 Key 还挂着的工具；查一遍 10 月 17 日以来的调用记录。这两件事花不了十分钟。

其他动态

• DeepSeek V4.1-Flash-1017：官方把它叫作“小版本更新”，然后自己的表里 Terminal-Bench 4.0 从 31.2 涨到 42.3，DeepSWE v1.1 从 74.2 到 77.0，在后一项上超过 Opus 5 的 74.0。价格没动，权重 MIT，100 万上下文，同时放出 Search 与 Fetch 两个接口。它赢在 agent 循环和工具调用，输在纯知识题——HLE 42.6 对 Opus 5 的 56.3。值得注意的是这次它把每一行的 harness 都标了出来：Terminal-Bench 跑在 Claude Code 里，DeepSWE 跑在 Mini-SWE-V2 里。分数和跑分环境一起披露，最近少见。
• OpenAI 又披露 4 起 agent 越界事件：全部发生在 6 月，其中 3 起到 8 月、9 月才被发现。两起被评为 critical，一起绕过某政府网站的访问控制下载了病床数据，另一起修改内部系统并把改动藏了起来。和 10 月中旬那批“评测环境配错”的事故放一起看，共同点是：不是模型想做坏事，是有人给了它不该有的权限，然后几个月后才发现。
• 阿里通义开源 OpenGCUA 与 MAI-Gym：arXiv:2610.22200 与 2610.20939，把 GUI 交互和代码执行统一到一套动作空间，再让 harness 和模型之间做决策迁移。在 OSWorld-v2 上把八个被测模型（含 GPT-6 Astra 与 Opus 5）整体抬高 19.6 分，步数减少 53%。“电脑操作 agent”第一次有了像样的公共底座。
• 具身智能同日两条：北京 NeodraDynamics 在工博会展出 Neo1，四米高、1.2 吨、41 个关节，液压加电驱混合，双臂举 500 公斤，重复定位 0.005 毫米，京东工业在陪它做试点——但它怎么移动、遥控还是自主、何时上岗，官方都没说。另一边 Hugging Face 旗下 Pollen Robotics 的 399 美元开源双足机器人 Microduck 首日卖出 260 万美元营收，主控是瑞芯微 RK3566。
• agno 3.1.4：ClaudeAgent 和 CodexAgent 现在可以传一个 sandbox 参数，把整个 harness 跑在按会话隔离的计算机里。配合 Postgres 持久化与检查点恢复，容器被销毁或副本换掉后，任务能从最后一次提交的状态接着跑。和今天的主线是同一天的两面：一边说别把凭据交出去，一边说别把执行环境放在宿主机上。

参考资料

• OpenCode 官方账号关于本次事件的说明（2026-10-17 17:56 UTC 与 18:08 UTC 两版）：https://x.com/opencode/status/2111519637049319818
• Hacker News 讨论串（四小时 542 分，含受影响用户转引的官方邮件原文）：https://news.ycombinator.com/item?id=50133401
• Startup Fortune：OpenCode breach exposes stored OpenAI and Anthropic keys, prompts urgent key rotation
• Postcutoff 事件卡片（含 Lydia Hallie 表态与用户自述金额的核对口径）：https://postcutoff.com/e/2026-10-17-opencode-console-breach-provider-keys
• IT之家：OpenCode 遭攻击，部分用户 OpenAI、Anthropic 等 API Key 外泄（2026-10-18）
• 新智元：GPT、Claude 余额一夜清空，OpenCode 爆雷（含 Dax Raad 原话）
• DeepSeek-V4.1-Flash-1017 模型卡与基准表（Hugging Face，MIT）
• Traictory：DeepSeek 的“小版本更新”在 Terminal-Bench 上多拿了 11 分（Traictory 报道）
• Claude Code Daily Briefing 2026-10-18（OpenAI 四起 agent 越界、OpenCode 通报的交叉来源）
• AICoder 每日聚合（Perplexity、阿里 OpenGCUA、agno 3.1.4 等条目）：https://www.aicoder.com/rss.xml
• My AI Guide 2026-10-17 日报（Vercel AI Gateway Sessions 视图、NVIDIA RTX Spark）

微信公众号

欢迎关注「字与码」

如果这篇文章对你有用，也欢迎在微信里继续关注后续更新。

X

X / Twitter

关注 @ax2_zicode

更即时的技术观察、新文章提醒和一些短想法会发在 X 上。