2026 年 10 月 17 日，消息公布 OpenCode Console（一项可选的托管服务）遭到入侵，导致用户存储的第三方提供商凭据泄露。该事件引发了广泛困惑，因为许多用户最初误将此次入侵归咎于本地 OpenCode CLI，这是由于名称共享所致。此次入侵具体影响了保存在 Console 工作区中的提供商密钥（例如 OpenAI、Anthropic），而非由 CLI 本地存储的密钥。受影响用户被建议撤销并替换这些密钥，并审查使用情况。供应商的声明确认了“遗留系统”遭到未经授权的访问，并敦促用户撤销受损密钥。一封来自 OpenAI 客户的邮件证实了该事件，指出其受影响的密钥已被禁用。初始公告中关于具体受损产品的信息不明确，造成了显著的不满。对于使用本地编码代理的用户，凭据存储在其机器上，请求根据其配置进行路由。这意味着，如果其配置指向本地网关（例如 127.0.0.1:8787），其密钥不会通过托管的 Console 服务暴露。然而，如果其配置指向供应商的托管网关，则必须撤销密钥。作者执行了四项检查：验证端点身份验证、统计磁盘上的凭据数量、扫描重复密钥，以及检查是否将密钥提交到配置仓库。端点检查（识别本地路由）确认作者的密钥未直接受到 Console 入侵的影响。然而，本地存储明文密钥仍存在安全风险。作者还指出，已退役的密钥可能仍保留在备份文件中，且若配置文件的公共仓库意外提交了凭据，则构成风险。对于任何使用托管密钥服务的用户，作者建议采取五个步骤：识别所使用的产品、在提供商处撤销受损密钥、审查使用图表、扫描重复密钥副本，并理想情况下采用一种代理从不直接持有密钥的设置。关键要点是将凭据置于代理的直接访问范围之外，以最小化泄露的影响范围。