نقض کنسول OpenCode: دامنه آسیب‌دیده، اعتبارنامه‌های ارائه‌دهنده و بررسی‌های عملی

این ویدیو چه مواردی را پوشش می‌دهد

• آمار 1.4% به کاربران کنسول اعمال می‌شود؛ تنها نصب عامل کدنویسی محلی به معنای قرار گرفتن در زیرمجموعه آسیب‌دیده گزارش‌شده نیست.
• اسناد ارائه‌دهنده Console می‌گوید که اعتبارنامه‌های متصل را پشت دروازه خود ذخیره می‌کند. این معماری مستند است، نه بازسازی مسیر نقض فاش‌نشده.
• اعلامیه رسمی و فعالیت ارائه‌دهنده را بررسی کنید؛ حفظ شواهد و ابطال اعتبارنامه‌های مشکوک توصیه‌های عمومی بهداشت حوادث هستند، نه یک لیست کامل تعمیرات اعلام‌شده.
• Sphinx کد و پاسخ‌های تغییر یافته را به یک بازبین جداگانه ارسال می‌کند، مسیر جهانی هوک Git را تغییر می‌دهد و هیچ سقف پیش‌فرض برای فراخوانی مدل ندارد. بازبین آن می‌تواند اشتباه کند و بررسی‌های محلی قابل دور زدن هستند.
• Pele از تغییرات CSS برای همان SVG پشتیبانی می‌کند. مقایسه سرعت آن توسط فروشنده گزارش شده است؛ تصاویر همچنان می‌توانند درخواست‌های شبکه صادر کنند و نشانه‌گذاری آیکون ارائه‌شده توسط فراخوان، مسئولیت برنامه باقی می‌ماند.
• تقطیر، یک هدف ادعایی شامل خروجی‌های مدل را توصیف می‌کند؛ مسیر دسترسی حادثه، هویت مهاجم و تأثیر کامل بر مشتری هنوز فاش نشده است.

رونوشت ترجمه شده

ترجمه شده از روایت اصلی انگلیسی. صوت و زیرنویس‌های موجود توسط YouTube کنترل می‌شوند.

چه کسانی واقعاً تحت تأثیر قرار گرفتند؟

0:00 شما می‌شنوید OpenCode هک شده و لپ‌تاپ خود را تصور می‌کنید. اعلامیه آن نام زیرمجموعه‌ای از کاربران کنسول را می‌برد. حکم قبلی ما مبنی بر "نیاز به بررسی" شایسته داستان کامل است. در این ویدئو، چه کسی تحت تأثیر قرار گرفت؟ چه چیزی را باید بررسی کنید؟ چرا یک برچسب مهم است؟ امروز یکشنبه، هجدهم اکتبر است، و این The Daily Diff است. این برچسب را در ذهن داشته باشید.

0:18 OpenCode یک عامل کدنویسی متن‌باز برای ترمینال شماست، ویرایشگر یا دسکتاپ. Console دروازه مدل میزبانی‌شده اختیاری آن است. همچنین حساب‌های ارائه‌دهنده‌ای که شما متصل می‌کنید را ارائه می‌دهد. اعلامیه به آن قطعه میزبانی‌شده اشاره می‌کند. اعلامیه شبانه تیتر اصلی Diff امروز است. سپس یک هوک Git از شما در مورد کد عامل شما سؤال می‌پرسد، و یک رندرگر نمودار

0:35 محدودیت‌های ایمنی خود را توضیح می‌دهد. ظاهراً ویژگی جدید بهره‌وری، خواندن است. OpenCode می‌گوید 1.4 درصد از کاربران کنسول تحت تأثیر قرار گرفته‌اند،

1.4% در واقع چه چیزی را توصیف می‌کند؟

0:42 زیرمجموعه‌ای با ارائه‌دهندگان خارجی متصل. می‌گوید به آنها ایمیل زده شده است. این دامنه فعلی شرکت است، با حادثه‌ای که هنوز در حال وقوع است. مخرج را همراه داشته باشید. کاربران کنسول این جمعیت هستند. اندازه آن فاش نشده است، بنابراین نمی‌توانیم تعداد قربانیان را محاسبه کنیم. تنها نصب عامل محلی شما را در گروه گزارش‌شده قرار نمی‌دهد. تیمو، یک توسعه‌دهنده، می‌گوید که نقض برای مشتریان مهم‌تر از برچسب

1:03 تقطیر است. نگرانی منطقی است. مردم در مورد حساب‌های خود پاسخ می‌خواهند در حالی که اینترنت در مورد آموزش مدل بحث می‌کند. اسناد ارائه‌دهنده مرز اعتماد را توضیح می‌دهد.

اعتبارنامه ارائه‌دهنده کجا قرار دارد؟

1:12 Console اعتبارنامه را ذخیره می‌کند و درخواست‌ها را از طریق دروازه خود مسیریابی می‌کند. اعضای فضای کاری از مدل‌ها بدون دیدن کلید ارائه‌دهنده استفاده می‌کنند. مدیریت مفید، دروازه را در موقعیتی قرار می‌دهد که باید به آن اعتماد کنید. می‌توانید دسترسی را بدون قرار دادن کلید بالادستی روی دستگاه هر همکار به اشتراک بگذارید. درصد کمی همچنان می‌تواند نشان‌دهنده یک افشای جدی باشد. اعلامیه یک گزارش فنی از نحوه دستیابی به دسترسی ارائه نکرده است. بازاریابی امنیتی کلمات آرامش‌بخش را دوست دارد. توسعه‌دهندگان دنبال می‌کنند که کدام مؤلفه کدام راز را نگه می‌دارد.

1:37 Console شایسته یک کادر دیگر در نمودار ذهنی شماست، که اینگونه هر نقشه معماری طولانی‌تر می‌شود. اعلامیه رسمی و سوابق فعالیت ارائه‌دهنده را بررسی کنید.

یک کاربر آسیب‌دیده چه چیزی را باید بررسی کند؟

1:45 برای استفاده مشکوک، شواهد را حفظ کرده و اعتبارنامه افشا شده را از طریق ارائه‌دهنده خود باطل کنید. یکپارچه‌سازی‌های تحت تأثیر را عمداً جایگزین کنید. این بهداشت عمومی حادثه است؛ اعلامیه فاقد یک لیست کامل رفع مشکل برای مشتری است. OpenCode می‌گوید با Anthropic، OpenAI و Google برای رفع مشکل همکاری می‌کند. هنوز نمی‌تواند جزئیات بیشتری را به اشتراک بگذارد. برای قضاوت در مورد رفع مشکل به گزارش بعدی نیاز خواهیم داشت. این اعلامیه هیچ قول بازپرداخت تأییدشده‌ای نمی‌دهد.

آیا یک هوک Git می‌تواند درک را بررسی کند؟

2:08 Sphinx نوع متفاوتی از نظارت را ارائه می‌دهد. فشردن شاخه محافظت‌شده را متوقف می‌کند و می‌پرسد که آیا شما کد عامل خود را می‌فهمید. درخواست کشش یک امتحان شفاهی پیدا کرده است. تکمیل خودکار شما به طرز مشکوکی ساکت نشسته است. یک بازبین جداگانه تغییرات اعمال‌شده را از طریق ابزارهای فقط خواندنی Git می‌خواند، بدون دیدن چت تولیدکننده. در مورد رفتار و موارد شکست سؤال می‌پرسد. اگر اشتباه پاسخ دهید، سناریوی دیگری دریافت می‌کنید.

2:30 قبول شوید، و ارسال اصلی ادامه می‌یابد. Readme می‌پرسد چه اتفاقی می‌افتد وقتی یک کارگر کامیت می‌کند، سپس قبل از تأیید کار خود خراب می‌شود. تحویل مجدد می‌تواند عملیات را تکرار کند. مثال گویا است؛ ما Sphinx را نصب نکرده‌ایم یا بهبود در بررسی تولید را اندازه‌گیری نکرده‌ایم. Sphinx yolo بررسی‌ها را غیرفعال می‌کند و رد شدن را ثبت می‌کند. هوک‌های محلی قابل دور زدن هستند، و readme می‌گوید بازبین می‌تواند اشتباه کند.

2:51 دستیار آموزشی ربات اجازه دارد اعتراف کند که یک ربات است. تنظیمات مسیر جهانی هوک Git شما را تغییر می‌دهد، از جمله سایر مخازن.

بازبین Sphinx چه چیزی دریافت می‌کند؟

2:58 بازبین کد تغییر یافته و پاسخ‌های شما را دریافت می‌کند. استثنائات نام فایل نمی‌توانند یک راز چسبانده شده به منبع معمولی را بگیرند. قبل از پذیرش آن را بخوانید. هیچ سقف پیش‌فرض برای فراخوانی مدل وجود ندارد. یک بررسی معمولی از پنج تا هشت درخواست به اضافه یک درخواست برای هر پاسخ استفاده می‌کند. محدودیت‌های هزینه را تنظیم کنید. می‌توانید برای امتیاز توضیح دادن خود دو بار هزینه بپردازید.

چه چیزی هنگام رندر Pele در Mermaid تغییر می‌کند؟

3:17 kepano از Obsidian به تازگی Pele را منتشر کرده است، که متن Mermaid را به SVG تبدیل می‌کند. او در پاسخ به یک توسعه‌دهنده شکاک، به شش سال نوشتن تم‌های Mermaid اشاره می‌کند. سابقه نگهداری پشت رشته راه‌اندازی وجود دارد. بسته فشرده آن حدود دویست و سی کیلوبایت گزارش شده است، در مقابل یک و شش دهم مگابایت Mermaid. از انواع نمودار Mermaid دوازده و یک دهم پشتیبانی می‌کند. ادعاهای سرعت اندازه‌گیری‌های پروژه هستند. ما آن مقایسه را بازتولید نکرده‌ایم.

3:40 متن نمودار را بنویسید، SVG بگیرید، سپس رنگ‌های آن را با CSS بدون رندر دوباره آن تغییر دهید. همان نمودار هویت خود را حفظ می‌کند. معماری شما می‌تواند دیگر مانند یک وب‌سایت نامربوط لباس نپوشد. Pele متن نمودار را اسکیپ کرده و لینک‌ها را فیلتر می‌کند.

کدام مرزهای نمودار متعلق به شما باقی می‌مانند؟

3:54 بازگشت‌های کلیک جاوا اسکریپت نادیده گرفته می‌شوند. تصاویر همچنان می‌توانند هنگام نمایش درخواست‌های شبکه را انجام دهند. برنامه شما مالک نشانه‌گذاری آیکون‌هایی است که ارائه می‌دهد و نحوه باز کردن لینک‌های داخلی. Pele به شما اجازه می‌دهد لینک‌ها و تصاویر را غیرفعال کنید، با محدودیت‌هایی در اندازه منبع و خروجی. برنامه همچنان کارهایی برای انجام دارد. خبر ناخوشایند برای هر کسی که امیدوار بود وابستگی کوچکتر مسئولیت را نیز کاهش می‌دهد. حالا آن برچسب.

تقطیر در واقع چه چیزی را توضیح می‌دهد؟

4:15 تقطیر به معنای آموزش یک مدل با استفاده از خروجی‌های مدل دیگر است. OpenCode نقض امنیتی را با یک حمله تقطیر در مقیاس بزرگ مرتبط می‌داند. این هدف ادعا شده است. مسیر دسترسی، هویت مهاجم و تأثیر کامل بر مشتری فاش نشده است. حکم من "نیاز به بررسی" است. من حادثه کنسول را تا زمانی که بتوانیم اعتبارنامه‌های آسیب‌دیده و رفع مشکل را ارزیابی کنیم، تحت بررسی نگه می‌دارم. مشخص کنید کدام سرویس دسترسی ارائه‌دهنده شما را نگه می‌دارد،

4:39 قبل از اینکه یک خبر اصلی مدل تهدید را برای شما انتخاب کند. اگر ترجیح می‌دهید این را بخوانید تا بشنوید، هر روز صبح، رایگان در thedailydiff.dev، لینک زیر، diff به صندوق ورودی شما می‌رسد. و این برای امروز diff بود. من نیکو از Axrisi هستم. مسئولانه ادغام کنید.

منابع

1. Latest edited OpenCode Console security noticeOpenCode
2. Connected provider credentials and Console gatewayOpenCode documentation
3. Console is an optional providerOpenCode documentation
4. Distillation definition and separate background casesAnthropic
5. Sphinx understanding checks and adoption caveatsSphinx project
6. Pele Mermaid-to-SVG rendererPele project
7. Pele security and application responsibilitiesPele documentation
8. Pele maintainer's public explanationkepano