# اختراق OpenCode Console: النطاق المتأثر، وبيانات اعتماد الموفر، والفحوصات العملية

Published: 2026-10-18

أبلغت OpenCode عن اختراق يؤثر على 1.4% من مستخدمي Console، وتحديداً مجموعة فرعية مرتبطة بمقدمي خدمة خارجيين. لا يكشف الإشعار العام عن مسار الوصول والإصلاح المكتمل. يشرح هذا المتابعة حدود بوابة التوثيق، ثم يفحص خطاف فحص الفهم الخاص بـ Sphinx وعقد سلامة عرض المخطط الخاص بـ Pele.

Canonical: https://thedailydiff.dev/ar/video/2026-10-18-opencode-console-breach/

## ما يغطيه هذا الفيديو

- ينطبق الرقم 1.4% على مستخدمي Console؛ تثبيت وكيل الترميز المحلي وحده لا يثبت التضمين في المجموعة الفرعية المتأثرة المبلغ عنها.
- تقول وثائق موفر Console إنها تخزن بيانات الاعتماد المتصلة خلف بوابتها. هذه هي البنية الموثقة، وليست إعادة بناء لمسار الاختراق غير المعلن عنه.
- راجع الإخطار الرسمي ونشاط الموفر؛ الحفاظ على الأدلة وإلغاء بيانات الاعتماد المشبوهة هي نصيحة عامة لنظافة الحوادث، وليست قائمة تحقق كاملة للإصلاح المعلن عنها.
- يرسل Sphinx الكود المتغير والإجابات إلى مراجع منفصل، ويغير مسار خطاف Git العام، وليس لديه حد افتراضي لاستدعاء النموذج. يمكن أن يكون الفاحص الخاص به خاطئًا ويمكن تجاوز الفحوصات المحلية.
- يدعم Pele تغييرات CSS على نفس SVG. مقارنة السرعة التي يقدمها هي من تقارير البائع؛ لا تزال الصور قادرة على إصدار طلبات الشبكة، ويظل ترميز الأيقونات الذي يوفره المتصل مسؤولية التطبيق.
- يصف "التقطير" غرضًا مزعومًا يتضمن مخرجات النموذج؛ يظل مسار الوصول إلى الحادث وهوية المهاجم والتأثير الكامل على العملاء غير مكشوف.

## الفصول

- 0:00 من الذي تأثر فعليًا؟
- 0:39 ماذا يصف 1.4% في الواقع؟
- 1:09 أين توجد بيانات اعتماد الموفر؟
- 1:43 ماذا يجب على المستخدم المتأثر فحصه؟
- 2:08 هل يمكن لخطاف Git فحص الفهم؟
- 2:55 ماذا يتلقى مراجع Sphinx؟
- 3:17 ماذا يتغير عندما يقوم Pele بعرض Mermaid؟
- 3:52 ما هي حدود المخطط التي لا تزال ملكك؟
- 4:15 ماذا يفسر التقطير في الواقع؟

## النص المترجم

مترجم من السرد الإنجليزي الأصلي. يتم التحكم في الصوت والتعليقات التوضيحية المتاحة بواسطة YouTube.

### من الذي تأثر فعليًا؟

0:00 تسمع أن OpenCode تعرضت للاختراق وتتخيل جهاز الكمبيوتر المحمول الخاص بك. يحدد إشعارها مجموعة فرعية من مستخدمي Console. تستحق نتيجة حكمنا السابق "تحتاج إلى مراجعة" القصة الكاملة. في هذا الفيديو، من الذي تأثر؟ ماذا يجب عليك التحقق منه؟ لماذا تهم تسمية واحدة؟ إنه الأحد، الثامن عشر من أكتوبر، وهذا هو The Daily Diff. تذكر هذه التسمية.

0:18 OpenCode هو وكيل ترميز مفتوح المصدر لمحطتك الطرفية، المحرر أو سطح المكتب. Console هي بوابة النماذج المستضافة الاختيارية. كما أنها تخدم حسابات الموفر التي تقوم بربطها. يسمي الإشعار هذا الجزء المستضاف. يقود إشعار الليلة الماضية الاختلاف اليوم. ثم يقوم خطاف Git باختبارك على رمز وكيلك، ويعرض محرك عرض المخطط

0:35 حدوده الأمنية. يبدو أن ميزة الإنتاجية الجديدة هي القراءة. تقول OpenCode أن 1.4 في المائة من مستخدمي Console قد تأثروا،

### ماذا يصف 1.4% في الواقع؟

0:42 وهي مجموعة فرعية مرتبطة بمقدمي خدمات خارجيين. تقول إنهم أُرسلوا عبر البريد الإلكتروني. هذا هو النطاق الحالي للشركة، مع استمرار الحادث. احتفظ بالمقام مرفقًا. مستخدمو Console هم تلك الفئة السكانية. حجمها غير معلن، لذا لا يمكننا حساب عدد الضحايا. تثبيت الوكيل المحلي وحده لا يضعك في المجموعة المبلغ عنها. يقول مطور يدعى تيمو إن الاختراق يهم العملاء أكثر من

1:03 تسمية التقطير. قلق عادل. يريد الناس إجابات حول حساباتهم بينما يتجادل الإنترنت حول تدريب النماذج. توضح وثائق الموفر حدود الثقة.

### أين توجد بيانات اعتماد الموفر؟

1:12 يقوم Console بتخزين بيانات الاعتماد وتوجيه الطلبات عبر بوابته. يستخدم أعضاء مساحة العمل النماذج دون رؤية مفتاح الموفر. تضع الإدارة المفيدة البوابة في موقع يجب عليك الوثوق به. يمكنك مشاركة الوصول دون وضع مفتاح المصدر الرئيسي على كل زميل في الفريق الجهاز. نسبة صغيرة لا تزال يمكن أن تصف تعرضًا خطيرًا. لم يقدم الإشعار وصفًا فنيًا لكيفية الحصول على الوصول. التسويق الأمني يحب الكلمات المريحة. يتابع المطورون أي مكون يحتفظ بأي سر.

1:37 يستحق Console مربعًا آخر في مخططك الذهني، وهذه هي الطريقة التي يطول بها كل رسم معماري. تحقق من الإشعار الرسمي وسجلات نشاط الموفر.

### ماذا يجب على المستخدم المتأثر فحصه؟

1:45 بالنسبة للاستخدام المشبوه، احتفظ بالأدلة وقم بإلغاء بيانات الاعتماد المكشوفة من خلال مزودك. استبدل عمليات التكامل المتأثرة عمدًا. هذه ممارسة عامة للنظافة في الحوادث؛ يفتقر الإشعار إلى قائمة تحقق كاملة لمعالجة العملاء. تقول OpenCode إنها تعمل مع Anthropic، OpenAI و Google للمعالجة. لا يمكنها مشاركة المزيد من التفاصيل بعد. سنحتاج إلى التقرير اللاحق للحكم على الإصلاح. هذا الإشعار لا يقدم وعدًا بالتعويض المتحقق منه.

### هل يمكن لخطاف Git فحص الفهم؟

2:08 يقدم Sphinx نوعًا مختلفًا من الإشراف. يوقف دفع فرع محمي ويسأل عما إذا كنت تفهم رمز وكيلك. لقد اكتسب طلب السحب امتحانًا شفويًا. الاستكمال التلقائي الخاص بك يجلس بهدوء مشبوه. يقرأ مراجع منفصل التغيير الملتزم به من خلال أدوات Git للقراءة فقط، دون رؤية الدردشة المولدة. يسأل عن السلوك وحالات الفشل. أجب بشكل غير صحيح وستحصل على سيناريو آخر.

2:30 إذا نجحت، يستمر الدفع الأصلي. يسأل الملف التمهيدي ماذا يحدث عندما يرتكب عامل خطأ، ثم يتعطل قبل الاعتراف بوظيفته. يمكن لإعادة التسليم تكرار العملية. المثال توضيحي؛ لم نقم بتثبيت Sphinx أو قياس تحسن في مراجعة الإنتاج. تحسن في مراجعة الإنتاج. يوقف Sphinx yolo الفحوصات ويسجل التجاوز. يمكن تجاوز الخطافات المحلية، ويقول الملف التمهيدي أن الفاحص قد يكون مخطئًا.

2:51 يملك مساعد التدريس الآلي إذنًا بالاعتراف بأنه روبوت. يغير الإعداد مسار خطاف Git العام الخاص بك، بما في ذلك المستودعات الأخرى.

### ماذا يتلقى مراجع Sphinx؟

2:58 يتلقى المراجع الكود المتغير وإجاباتك. استثناءات أسماء الملفات لا يمكنها اكتشاف سر تم لصقه في مصدر عادي. اقرأ ذلك قبل اعتماده. لا يوجد حد افتراضي لمكالمات النموذج. يستخدم الفحص النموذجي من خمسة إلى ثمانية طلبات، بالإضافة إلى واحد لكل إجابة. حدد حدود الإنفاق. يمكنك الدفع مقابل امتياز شرح نفسك مرتين.

### ماذا يتغير عندما يقوم Pele بعرض Mermaid؟

3:17 أصدر Kepano من Obsidian للتو Pele، والذي يحول نص Mermaid إلى SVG. ردًا على مطور متشكك، أشار إلى ست سنوات من كتابة ثيمات Mermaid. هناك تاريخ صيانة وراء موضوع الإطلاق. يُذكر أن حزمته المضغوطة تبلغ حوالي مائتين وثلاثين كيلوبايت، مقابل واحد وستة من عشرة ميجابايت لـ Mermaid. يدعم أنواع مخططات Mermaid 12.1. ادعاءات السرعة هي قياسات المشروع. لم نقم بإعادة إنتاج هذه المقارنة.

3:40 اكتب نص المخطط، احصل على SVG، ثم غير ألوانه باستخدام CSS دون إعادة عرضه. يحتفظ نفس المخطط بهويته. يمكن لبنيتك أن تتوقف عن أن تبدو وكأنها موقع ويب لا علاقة له بها. يهرب Pele نص المخطط ويصفي الروابط.

### ما هي حدود المخطط التي لا تزال ملكك؟

3:54 يتم تجاهل استدعاءات النقر في JavaScript. لا يزال بإمكان الصور إجراء طلبات شبكة عند عرضها. يتحمل تطبيقك مسؤولية ترميز الأيقونات الذي يوفره وكيف يفتح الروابط الداخلية. الروابط. يتيح لك Pele تعطيل الروابط والصور، مع قيود على حجم المصدر والإخراج. لا يزال التطبيق لديه عمل يجب القيام به. أخبار محرجة لأي شخص يأمل أن يقلل الاعتماد الأصغر من المسؤولية أيضًا. الآن تلك التسمية.

### ماذا يفسر التقطير في الواقع؟

4:15 التقطير يعني تدريب نموذج باستخدام مخرجات نموذج آخر. تربط OpenCode الاختراق بهجوم تقطير واسع النطاق. هذا هو الغرض المزعوم. يترك مسار الوصول وهوية المهاجم والتأثير الكامل على العملاء غير مكشوف. حكمي هو "تحتاج إلى مراجعة". سأبقي حادث Console قيد المراجعة حتى نتمكن من تقييم بيانات الاعتماد المتأثرة والإصلاح. حدد الخدمة التي تحتفظ بوصول موفرك،

4:39 قبل أن يختار لك عنوان رئيسي نموذج التهديد. إذا كنت تفضل قراءة هذا بدلاً من سماعي أقوله، فإن الاختلاف يهبط في صندوق بريدك الوارد كل صباح، مجانًا على thedailydiff.dev، الرابط أدناه. وهذا هو الاختلاف اليوم. أنا نيكو من Axrisi. ادمج بمسؤولية.

## المصادر

- [Latest edited OpenCode Console security notice](https://x.com/opencode/status/2111519637049319818) — OpenCode
- [Connected provider credentials and Console gateway](https://opencode.ai/v2/docs/console/providers/) — OpenCode documentation
- [Console is an optional provider](https://opencode.ai/v2/docs/console/models/) — OpenCode documentation
- [Distillation definition and separate background cases](https://www.anthropic.com/news/detecting-and-preventing-distillation-attacks) — Anthropic
- [Sphinx understanding checks and adoption caveats](https://github.com/parthh01/sphinx) — Sphinx project
- [Pele Mermaid-to-SVG renderer](https://pele.run/) — Pele project
- [Pele security and application responsibilities](https://pele.run/security) — Pele documentation
- [Pele maintainer's public explanation](https://x.com/kepano/status/2111575190081847776) — kepano