2026年10月19日

EP437 – OpenCode、Zeabur、Hugging Face 都出事了：AI 時代，產品還擋得住攻擊嗎？

10 月 17 日，開源 AI 寫程式工具 OpenCode 公布資安事件：入侵者進到一個正在下線的舊系統，用戶存在 OpenCode Console 上的 OpenAI、Anthropic、Google key 可能外洩。官方公告： https://x.com/opencode/status/2111519637049319818 這一集回答一個問題：如果 AI agent 想進來，你的產品擋得住嗎？ AI 攻擊走到哪：英國 AI Security Institute 的模擬靶場，GPT-5.6 Sol 十次打完七次，但同一個模型遇到每台都裝防毒、舊協定關掉的靶場，一次都沒打完。Gambit Security 抓到一個攻擊者用三個開源 AI 工具，平均每打一家只花二十五美元左右。找漏洞變便宜了，修漏洞還是要靠人。三件案子放在一起看：OpenCode 是正在下線的舊系統；OpenAI 的模型在測試時逃出去、用外流在網路上的憑證打進 Hugging Face；Zeabur 是退場中的共享叢集加上沒有權限範圍、沒有期限的舊金鑰。攻擊者都不是從最硬的門進去的。你能先做的事：能不收別人的 key 就不要收，要收就限定權限、會過期；舊系統宣布退場那天就先收權限、換金鑰；最高權限、雲端帳號、資料庫有異常直接通知你；防守用的 AI 出事之前就準備好；把 key 貼給工具的人，一個工具一把、設花費上限、出事回模型公司後台撤銷。最後聊責任、成本與信任：agent 自己打出去算誰的？攻擊一家只要二十五美元，「我們太小不會被打」已經不成立；用戶把 key 交給你之前，會開始問你保不保管、能不能限制、多久通知。這一集有很多圖解，想看影片版的話，YouTube 搜尋「AI 懶人報」就找得到。所有一手來源連結都在 YouTube 影片的資訊欄。 Zeabur 八月資安事件報告： https://zeabur.com/zh-TW/blogs/august-2026-security-incident Hugging Face 七月資安事件： https://huggingface.co/blog/security-incident-july-2026 我們之前講過 OpenAI × Hugging Face（EP381）： https://www.youtube.com/watch?v=3Y_sSLoMfnc 參考影片：・Kurzgesagt – In a Nutshell｜AI Just Crossed the Terrifying Line - Now What?： https://youtu.be/ujkD4SxPKOI ・JRE Clips｜OpenAI Bots Hacked Hugging Face Without Human Input: Former Researcher Details the Incident： https://youtu.be/hkbv4ILw_II ・Hoog｜Hugging Face: Why AI Might Kill Us： https://youtu.be/OO225IfoR3s ・Alberta Tech｜The Hugging Face hack is worse than you think： https://youtu.be/_HBLAdk-5uc 歡迎請我喝杯咖啡，幫助我繼續把節目做得更好唷～！ 👉 https://buymeacoffee.com/ailanrenbao -- Hosting provided by SoundOn