OpenCode 官方 X 账号（@opencode）发布消息称，该项目遭到黑客攻击，用户凭证已泄露。这是目前可确认的核心事实：官方确认了入侵与凭证外泄，但未在同一渠道说明受影响的用户规模、泄露凭证的具体类型、事件被发现的时间，也未公开攻击路径与修复状态。
对 AI 编程类工具而言，影响范围通常不止于账号本身。这类产品需要接入代码仓库、终端环境与模型服务，凭证往往是打通这些环节的钥匙；一旦外泄，风险会沿着凭证的权限边界扩散。因此在官方披露更多细节前，使用过 OpenCode 的开发者与团队，宜按“凭证已不可信”的假设处理：轮换相关密钥与令牌，检查近期的异常登录、调用记录与账单变化，并核对本地配置中是否仍留有明文凭证。
需要区分的是，以上属于通用安全实践，并非官方给出的处置指引。目前公开信息尚不足以判断此次事件是配置疏漏、第三方依赖被攻破，还是针对维护者账号的攻击，也不清楚受影响的版本或部署方式。
AI 编程工具处在开发者工作流的关键位置，其安全事件的影响会被权限链条放大。后续值得关注三点：官方是否发布正式的事故说明与时间线、是否明确凭证轮换的具体范围、是否补充审计日志与最小权限方面的改进。在信息补齐前，建议以官方账号的更新为准，避免依据未经证实的截图或转述做出判断。