智能体开发工具链这周挨了两记，而且指向同一个结构性问题。10 月 15 日预留、16 日披露的 CVE-2026-111322：开源 AI 编码智能体平台 Archon 的控制接口没有任何身份验证，默认监听所有网卡，背后的编码智能体还开着 bypassPermissions——能摸到端口的人，等于拿到一台以 Archon 用户权限运行的远程 shell。10 月 17 日，OpenCode 通知约 1.4% 的 Console 用户：你们存在工作区里的 OpenAI、Anthropic、Google 密钥可能已经外泄，事件源头是一套正在停用的旧系统，厂商把它归进「大规模蒸馏攻击」的一环。
Archon：没上锁的控制台就是远程 shell
Archon 是 coleam00 在 GitHub 上维护的开源平台，用来在本机或服务器上跑 AI 编码智能体、管理工作流与知识库。漏洞落在 /api/* 控制路径上：没有认证（CWE-306，关键功能缺少认证），默认绑定 0.0.0.0 意味着所有网卡可达。VulnCheck 按 CVSS 4.0 打 9.3，NVD 记录的 3.1 向量是 9.8；影响 0.2.13 至 0.11.1 全部版本，披露时未给出修复版本，v0.11.1 是最后一个受影响 release；不在 CISA KEV 目录；发现者是研究者 hieuPenguinnn。
为什么性质是远程命令执行而不是信息泄露？因为智能体本质上是一台把自然语言编译成 shell 的编译器——控制接口缺认证，等于把编译器交给了任何人，而且编译完直接执行。CVEO 的评语很到位：攻击者不需要复杂利用，智能体只是在为错误的人做它本来该做的事。能碰到这台机器的人拿到的是：智能体能读的源码与仓库、环境里的模型 API 密钥与 Git 令牌与云凭据，以及 Archon 用户权限下的任意命令。共享 Wi-Fi 上的开发机、带公网 IP 的云主机，都够。
同月还有前例：GitLab 10 月 2 日给 AI Gateway 补了 CVE-2026-90970（CVSS 9.9，Duo Agent Platform 认证用户经 prompt 模板沙箱逃逸在网关上执行命令，自托管网关需升 19.2.4、19.3.2 或 19.4.1），8 月另有 CVE-2026-75871（SSRF 致 Vertex 云凭据与签名私钥披露）。共同形状：智能体平台天生带着「能干活」的权限，控制面却按内部工具设计——为笔记本上的单用户而生，搬到共享服务器上，默认值就成了敞开的门。
OpenCode：钥匙放在了每一层工具里
OpenCode 是 Anomaly Innovations（前 SST）出品的开源编码智能体，跑在终端、桌面与编辑器里；Console 是它的托管仪表盘，团队在里面存自己的提供商密钥、设预算、共享模型。据客户邮件与多方报道：10 月 16 日夜间至 17 日凌晨，一套正在停用的 legacy console 被未授权访问，最早暴露时间约在 17 日 00:30 UTC；10 月 17 日当天厂商邮件通知受影响用户，距最早暴露约 22 小时，同日公开确认约 1.4% 的 Console 用户受影响，并把事件与「大规模蒸馏攻击」相关联。密钥范围上，OpenAI 与 Anthropic 为通知点名，Google 为安全厂商转述，经同一工作区转发的其他端点也可能在范围内。厂商称尚未确认密钥被滥用、也未发现其他数据外泄，正与三家提供商联合处置；用户端已见未授权扣费个案（约 100 美元、400 美元、约 200 欧元等），均为个案而非厂商数字。
为什么密钥是硬通货？蒸馏攻击要的是输出不是服务：把精心挑选的提示批量打给前沿模型、把答案留下来训练模仿者。偷来的真实客户密钥既能绕过提供商的风控——流量看起来就是正常团队在写代码——又让原主买单。Bitsight 本周披露地下工具 MONST3R-AI：把偷来的 OpenAI、Anthropic、Google 密钥贴进面板就能跑自主扫描智能体；印度 CERT-In 本周也警告智能体经代码与配置里暴露的凭据摸到生产系统。需求侧一直旺：Anthropic 9 月指控三家实验室经约 2.4 万个欺诈账户产生超 1600 万次交互（Infosecurity Magazine 转述）。
结构性诊断：BYOK 的扩散代价
说句公道话：OpenCode 没做错什么特别的事。每个「支持自定义密钥」的编码工具、智能体框架、聊天前端都在存钥匙，每一处都是钥匙可能丢失的地方——一把没有支出上限的密钥，丢在任何一个工具里就等于丢在所有地方。Modal 的 Secret Injection（让智能体用得着登录凭据却看不着）代表另一种思路，但那是商业平台的卖点，不是行业默认。放到台谱上：1932 扫出 253 个已证实漏洞的 MCP 服务器，是供应链侧的口子；1942 的 Perplexity SPACE 把沙箱当答案，是执行侧的口子；1945 的治理货架说钥匙要挂到盒外——本周这两起是同一共识的负面注脚：控制面与凭据库，就是智能体时代的城门与金库。
该做的动作，按角色分
跑着 Archon 的：把 API 绑到 127.0.0.1，必须远程就上防火墙或带鉴权的反代；查一遍公网暴露；轮换所有在暴露主机上待过的凭据；盯 GitHub releases 等修复版。收到 OpenCode 通知的：去提供商自己的控制台吊销重签（别点邮件里的链接，这类通知发出几小时内就会出现仿冒钓鱼）、改密码、重建 Console 密钥、从 10 月 16 日起倒查账单与用量、设硬性支出上限、按项目按人拆分密钥。没收到邮件的 Console 用户厂商称不受影响，纯 CLI 本地用户按已公开信息不在范围。
两起事件的修复节奏与未授权扣费的赔付责任框架，目前官方及行业暂未披露更多细节，后续将持续跟进迭代动态。