Proboj OpenCode Console-a: obuhvaćeni opseg, akreditivi provajdera i praktične provere

Šta ovaj video pokriva

• Broj od 1,4% odnosi se na korisnike Console-a; sama instalacija lokalnog agenta za kodiranje ne uspostavlja uključivanje u prijavljenu pogođenu podgrupu.
• Dokumentacija Console-ovog provajdera kaže da čuva povezane akreditive iza svog gateway-a. Ovo je dokumentovana arhitektura, a ne rekonstrukcija neotkrivenog puta proboja.
• Pregledajte zvanično obaveštenje i aktivnost provajdera; čuvanje dokaza i opozivanje sumnjivih akreditiva su opšti saveti za higijenu incidenata, a ne najavljena kompletna lista provera popravki.
• Sphinx šalje izmenjeni kod i odgovore odvojenom recenzentu, menja globalnu Git hook putanju i nema podrazumevanu kapicu za pozive modela. Njegov ispitivač može pogrešiti i lokalne provere se mogu zaobići.
• Pele podržava CSS promene na istom SVG-u. Njegovo poređenje brzine je prijavljeno od strane prodavca; slike i dalje mogu slati mrežne zahteve, a markup ikona koji dostavlja pozivalac ostaje odgovornost aplikacije.
• Destilacija opisuje navodnu svrhu koja uključuje izlaze modela; putanja pristupa incidenta, identitet napadača i potpuni uticaj na korisnike ostaju neotkriveni.

Prevedeni transkript

Prevedeno iz originalne engleske naracije. Dostupan zvuk i titlovi kontroliše YouTube.

Ko je zapravo bio pogođen?

0:00 Čujete da je OpenCode hakovan i zamišljate svoj laptop. Njegovo obaveštenje imenuje podgrupu korisnika Console-a. Naša ranija presuda 'potrebna provera' zaslužuje celu priču. U ovom videu, ko je bio pogođen? Šta treba da proverite? Zašto je jedna oznaka važna? Nedelja je, osamnaesti oktobar, i ovo je The Daily Diff. Zapamtite tu oznaku.

0:18 OpenCode je open source agent za kodiranje za vaš terminal, editor ili desktop. Console je njegov opcioni hostovani model gateway. Takođe opslužuje naloge provajdera koje povezujete. Obaveštenje imenuje taj hostovani deo. Jutarnje obaveštenje predvodi današnji diff. Zatim Git hook vas ispituje o kodu vašeg agenta, a renderer dijagrama objašnjava

0:35 njegove sigurnosne granice. Očigledno je nova funkcija produktivnosti čitanje. OpenCode kaže da je pogođeno 1,4 posto korisnika Console-a,

Šta zapravo opisuje 1,4%?

0:42 podgrupa sa povezanim eksternim provajderima. Kaže da su im poslati mejlovi. To je trenutni opseg kompanije, sa incidentom koji je još uvek u toku. Neka nazivnik ostane vezan. Korisnici Console-a su ta populacija. Njegova veličina je neotkrivena, tako da ne možemo izračunati broj žrtava. Sama instalacija lokalnog agenta ne stavlja vas u prijavljenu grupu. Programer po imenu timo kaže da je proboj važniji za korisnike nego za

1:03 oznaku destilacije. Razumna zabrinutost. Ljudi žele odgovore o svojim nalozima dok se internet raspravlja o obuci modela. Dokumentacija provajdera objašnjava granicu poverenja.

Gde se nalaze akreditivi provajdera?

1:12 Console čuva akreditive i usmerava zahteve kroz svoj gateway. Članovi radnog prostora koriste modele bez uvida u ključ provajdera. Korisna administracija postavlja gateway u poziciju kojoj morate verovati. Možete deliti pristup bez stavljanja uzvodnog ključa na mašinu svakog člana tima. Mali procenat i dalje može opisivati ozbiljnu izloženost. Obaveštenje nije dalo tehnički opis kako je pristup ostvaren. Sigurnosni marketing voli utešnu reč. Programeri prate koja komponenta drži koju tajnu.

1:37 Console zaslužuje još jedan kvadratić u vašem mentalnom dijagramu, što je način na koji svaki arhitektonski crtež postaje duži. Proverite zvanično obaveštenje i zapise o aktivnostima provajdera.

Šta pogođeni korisnik treba da proveri?

1:45 Za sumnjivu upotrebu, sačuvajte dokaze i opozovite izložene akreditive putem vašeg provajdera. Namerno zamenite pogođene integracije. To je opšta higijena incidenata; obaveštenju nedostaje kompletna lista provera za sanaciju za korisnike. OpenCode kaže da radi sa Anthropic-om, OpenAI-om i Google-om na sanaciji. Trenutno ne može da podeli više detalja. Biće nam potreban kasniji izveštaj da bismo procenili popravku. Ovo obaveštenje ne sadrži obećanje o verifikovanoj nadoknadi.

Može li Git hook proveriti razumevanje?

2:08 Sphinx nudi drugačiju vrstu nadzora. Pauza guranje zaštićene grane i pita da li razumete kod svog agenta. Zahtev za povlačenje je dobio usmeni ispit. Vaše automatsko dopunjavanje sedi sumnjivo tiho. Odvojeni recenzent čita poslatu izmenu putem Git alata samo za čitanje, bez uvida u generisani chat. Pita o ponašanju i slučajevima greške. Odgovorite netačno i dobijate drugi scenario.

2:30 Prođite, i originalno guranje se nastavlja. Readmi pita šta se dešava kada radnik commituje, a zatim se sruši pre potvrde svog posla. Ponovna dostava može ponoviti operaciju. Primer je ilustrativan; nismo instalirali Sphinx niti izmerili poboljšanje u proizvodnoj proveri. Sphinx yolo isključuje provere i beleži preskakanje. Lokalne kuke se mogu zaobići, a readmi kaže da ispitivač može pogrešiti.

2:51 Robot asistent za učenje ima dozvolu da prizna da je robot. Podešavanje menja vašu globalnu Git hook putanju, uključujući druge repozitorijume.

Šta prima Sphinx recenzent?

2:58 Recenzent prima izmenjeni kod i vaše odgovore. Izuzimanja imena datoteka ne mogu uhvatiti tajnu zalepljenu u običan izvor. Pročitajte to pre nego što ga usvojite. Ne postoji podrazumevana kapica na pozive modela. Tipična provera koristi pet do osam zahteva, plus jedan po odgovoru. Postavite ograničenja potrošnje. Možete platiti za privilegiju da se dvaput objašnjavate.

Šta se menja kada Pele renderuje Mermaid?

3:17 Obsidianov kepano je upravo izdao Pele, koji pretvara Mermaid tekst u SVG. Odgovarajući skeptičnom programeru, on ukazuje na šest godina pisanja Mermaid tema. Postoji istorija održavanja iza pokretačke niti. Njegov kompresovani paket prijavljen je na oko dvesta trideset kilobajta, u odnosu na Mermaidovih 1,6 megabajta. Podržava tipove dijagrama Mermaid 12.1. Tvrdnje o brzini su merenja projekta. Nismo reprodukovali to poređenje.

3:40 Napišite tekst dijagrama, dobijte SVG, a zatim promenite njegove boje pomoću CSS-a bez ponovnog renderovanja. Isti dijagram zadržava svoj identitet. Vaša arhitektura može prestati da se oblači kao nepovezana veb lokacija. Pele izbegava tekst dijagrama i filtrira linkove.

Koje granice dijagrama ostaju vaše?

3:54 JavaScript povratni pozivi za klikove se ignorišu. Slike i dalje mogu slati mrežne zahteve kada se prikazuju. Vaša aplikacija poseduje markup ikona koji dostavlja i kako otvara interne linkove. Pele vam omogućava da onemogućite linkove i slike, sa ograničenjima izvornog i izlaznog opsega. Aplikacija još uvek ima posla. Nezgodne vesti za svakoga ko se nada da manja zavisnost takođe smanjuje odgovornost. Sada ta oznaka.

Šta destilacija zapravo objašnjava?

4:15 Destilacija znači obuku modela koristeći izlaze drugog modela. OpenCode povezuje proboj sa napadom destilacije velikih razmera. To je navodna svrha. Ostavlja putanju pristupa, identitet napadača i potpuni uticaj na korisnika neotkriven. Moja presuda je 'potrebna provera'. Držao bih incident sa Console-om pod revizijom dok ne budemo mogli da procenimo pogođene akreditive i popravku. Identifikujte koja usluga drži vaš pristup provajderu,

4:39 pre nego što naslov izabere model pretnje za vas. Ako biste ovo radije pročitali nego čuli, diff stiže u vaše sanduče svako jutro, besplatno na the daily diff dot dev, link ispod. I to je diff za danas. Ja sam Niko iz Axrisija. Spojite odgovorno.

Izvori

1. Latest edited OpenCode Console security noticeOpenCode
2. Connected provider credentials and Console gatewayOpenCode documentation
3. Console is an optional providerOpenCode documentation
4. Distillation definition and separate background casesAnthropic
5. Sphinx understanding checks and adoption caveatsSphinx project
6. Pele Mermaid-to-SVG rendererPele project
7. Pele security and application responsibilitiesPele documentation
8. Pele maintainer's public explanationkepano