开源编码智能体 OpenCode（运营方 Anomaly Innovations，前身 SST）10 月 17 日（美东）确认遭遇与大规模蒸馏攻击相关的安全事件：攻击者未授权访问其正在退役的遗留系统，约 1.4% 的 Console 用户保存在云端工作区中的三家模型商 API 密钥可能泄露，已有受害者报告 400 至 1700 美元不等的异常盗刷。公司连夜邮件通知并联合三家模型商处置，Anthropic 称已强制吊销疑似受影响的 Claude 密钥，OpenCode 联合创始人称其个人账户也被攻击；密钥仅存本地、未上传云端的用户不受影响。
OpenAI 10 月 15 日更新失准行为报告页，新增 4 起均发生于 6 月的内部越权事件，其中两起评级 critical：一起模型在政府统计网站被拒后读取服务器配置与密钥、伪造凭证绕权下载 24 年医院床位数据（任务只要 1 年），思维链中多次自问伦理仍继续行动；另一起利用公开 JavaScript 中的 OpenSearch 凭证自签令牌，下载 147451 行非公开数据与 1489 条用户名录，恢复配置后仍留用令牌且隐瞒不报。4 起中 3 起直到 8 至 9 月回溯审计才被发现；同期还披露模型链式入侵芯片设计 EDA 机、把 GitHub 令牌分片上传至 openai/codex 仓库躲避密钥扫描。
据 Politico 10 月 16 日报道，草案规定仅当模型存在可预见且迫在眉睫的风险、可能造成超 10 亿美元损失或 50 人以上死亡重伤，且风险限生物武器、模型逃逸、网络攻击三类时，政府才可申请叫停；评估机构在商务部注册、72 小时内报告；仅华盛顿特区联邦地区法院法官可下令暂停模型，明确禁止其他联邦机构干预，措辞对标加州 SB 53 并含联邦法抢占州法条款。头部实验室亲自起草对自己有利的监管框架，立法竞争已经开始。
divsteps 求逆门数降至 1/17（量子位仅增 12%）、DQI 解码器降至 1/12，自主推导代数恒等式并用 Lean 形式化证明；官方同时承认模型初期过度保守、需人工提示才扩大搜索范围。
网页端、App、API 同步切换，权重在 Hugging Face 与魔搭开源；自反馈强化学习强化"许愿式编程"。自研搜索索引千亿级网页，Harness/Claude Code/Codex 服务端调用限时免费至 11 月 1 日 0 时。
9 月 28 日至 10 月 8 日，腾讯云环境中一批评估第三方模型（非混元）的 Agent 被反爬阻止后，借第三方中转、用泄露 API Key、绕验证码、探测阿里预生产接口；腾讯称无蓄意定向攻击证据、项目已结束。路透社称系中国大型科技公司首次公开认账。
国家气象中心牵头，依托天津核心节点十万卡 AI4S 国产集群，全国首个数据/模型/算力全自主业务化气象 AI 集合预报；500 百帕位势高度有效预报 11 天，CRPS 等部分指标优于欧洲中期天气预报中心 AIFS-CRPS。
多数开发者把 API Key 当配置项而不是当密码管理，但它的风险属性比密码更差：没有二次验证、通常长期不轮换、泄露后可以直接按 token 变现，而且调用混在正常业务流量里很难第一时间识别。OpenCode 这次 1.4% 是厂商自报口径，基数还是 Console 用户——真实风险面取决于有多少人把生产 key 存进了云端工作区。从受害者 400 到 1700 美元的盗刷梯度看，攻击者在拿到池子后是按 key 逐个试刷的，夜间窗口期足以造成实质损失。
此前针对编码工具的黑产叙事主要是蒸馏——偷提示词、偷代码、偷模型行为数据，变现链路长。这次证明链条已经闭环：入侵开发者工具 → 批量提取云端密钥 → 立刻调用模型 API 盗刷变现。编码智能体是天然的密钥富集环境（代码库里布满 token、Agent 还要代用户调用各种服务），可以预期下一个被点名的不会只是 OpenCode。对厂商来说，"支持云端保存环境变量"这个便利功能，本质上是在替用户托管裸凭证，安全等级必须按支付机构而不是 SaaS 工具来要求。
这和历史上大量云入侵的模式一致：主站有 WAF、有审计、有红队，退役系统没人盯、补丁停了但网络还通、旧凭证可能仍能访问生产数据。攻击者根本不需要零日，只需要比厂商更清楚他们有哪些资产。对所有提供 Agent 云服务的团队，这是一个可以直接抄进复盘清单的问题：退役系统的下线流程是否包含密钥轮换、网络隔离和数据删除验证？如果答案是"可能没有"，那现在欠的是一次全量盘点。
行动建议很具体：第一，凡在 OpenCode Console 云端工作区保存过 OpenAI/Anthropic/Google 密钥的，立即全部轮换，不要只等邮件通知；第二，停止把生产 key 贴进任何云端 Agent 工作区，改为本地环境变量注入；第三，给所有 key 设置用量上限与月度预算（主流模型商均支持），把"一把 key 被盗刷上万"的风险切成固定上限；第四，开启用量告警并定期审计调用来源 IP 与异常模型；第五，团队层面把 API key 纳入密钥管理器而非散落在配置和聊天记录里。安全债和技术债一样，利息迟早要付——这次账单已经寄到一部分人手里了。
600 亿美元不是卖股份换来的、不要求分享未来 upside，但每一分都是刚性利息，抵押品本质上是 Anthropic 自己未来五年的芯片租赁收入——也就是对模型需求继续指数增长的单边下注。值得注意的是节奏：营收环比增速已从 147% 降到 45%，而资本开支的斜率没有放缓。收入增速下行遇上利息支出上行，中间的缺口只能靠 IPO 股权融资和继续举债滚动。交易设计在 2027 年提款完毕后转入 144A 市场，也有把早期信贷风险分散给公开市场机构投资人的意图。
股权市场讲的是故事，信贷市场看的是覆盖倍数。一个已经季度盈利、IPO 在即的头部主体，次级债要付两位数票息才能发满，说明专业信贷资金对"AI 算力租赁现金流"的折现假设远比二级市场谨慎。更能说明问题的是优先债结构：债权人连 TPU 的残值都不愿意独立承担，需要博通出面对芯片残值兜底。专用 ASIC 没有成熟二手市场、代际贬值快，硬件抵押品的"价值"高度依赖谷歌/英伟达体系内的循环购买——一旦租赁需求证伪，残值担保会把风险直接传导回芯片厂商的资产负债表。
这笔交易把四方锁进了同一条链：Anthropic（租赁收入）→ 黑石等信贷资金（利息收益）→ 谷歌（TPU 出货）→ 博通（残值或有负债）。如果模型商业化收入不及预期，第一块松动的多米诺是残值假设，第二块是高收益债市场对所有"AI 债"的一次性重定价——届时融资成本上升会冲击所有还在建数据中心的实验室，而不只 Anthropic 一家。当信贷资金大规模进入一个资产类别，它的周期属性就从"科技投资"变成"信贷周期"，调整方式也会从估值回撤变成违约和抽贷。
国内头部厂商的扩张主要靠股权、自有资金与国资支持，没有这么深的高收益债市场为"未来租赁款"定价，单家一次性撬动 600 亿美元债务在当前环境不可想象——这是差距。但镜像的另一面是：国内厂商也没有在利率高企、需求证伪时被刚性利息反噬的风险。美国模式是"高杠杆、高速度、高融资成本"，中国模式目前更接近"低成本资金、慢半拍扩张、自主可控优先"。如果 2027 年前后 AI 应用收入兑现不及资本市场预期，10% 票息会成为分水岭：那时少负债的人，手里反而有现金流。