你家廚房的鑰匙掛在哪裡，取決於你信不信每個進門的人

10 月 17 日，開發工具 OpenCode 發出通知：前一晚發生一起安全事件，影響約 1.4% 的 Console 用戶。有人未經授權潛入了該公司一個正在停用流程中的舊系統，用戶工作區裡存放的 OpenAI、Anthropic 等服務的 API 密鑰可能已經外流。拿到密鑰的人，可以用帳戶持有者的名義發起請求，費用照算。

這聽起來離廚房很遠。但換個說法你就懂了：等於有人複製了你家的鑰匙，趁你上班的時候開門進來，開了火、用了瓦斯、翻了你冰箱裡的存糧，帳單月底才寄到。

討論區裡已經有人收到帳單了。有用戶的 Anthropic 帳戶被扣了 400 美元，另一位用戶的谷歌服務費用衝到約 200 歐元，專案還因為「過度濫用」被停掉。還有人說，早在 OpenCode 的通知寄達之前，OpenAI 和 Anthropic 的異常用量提醒就已經先到了。這就像鄰居先打電話告訴你「你家廚房的燈亮了一整晚」，而你自己還不知道鑰匙已經不在鑰匙圈上了。

廚房裡其實到處都是這種「鑰匙」。瓦斯總開關、冰箱門上的溫度設定、滷鍋底下那罐老滷的火候。你平常不會多想，因為家裡就那幾個人進出。但只要有一個環節借了別人，比如請了清潔、租了房子、把工具借給朋友辦桌，你對這個空間的控制就多了一層不確定。OpenCode 出事的正是這種環節：一個「正在停用的舊系統」，一個你以為已經退休、卻還掛著整串鑰匙的抽屜。

公司說正在與 Anthropic、OpenAI 和谷歌合作補救，並已email通知所有受影響用戶；沒收到信的人，這次不在範圍內。事件仍在調查，細節尚未公布。

能從中帶回餐桌邊的線索，其實和廚房收納的老原則是一樣的：貴重的東西不要放在借出去的空間裡。真正會讓帳單爆表的那些憑證，放在自己手上的鑰匙圈，而不是寄放在別人的工作檯上。這道理和你不會把祖傳滷汁寄放在別人家冰箱一樣，不是不信任對方的手藝，而是你沒辦法盯著每一個開關冰箱門的人。

舊系統還沒拆乾淨之前，門鎖就還在。這大概是這起事件最樸素的一課。