Proboj OpenCode Consolea: zahvaćeni opseg, vjerodajnice pružatelja usluga i praktične provjere

Što ovaj video pokriva

• Brojka od 1,4% odnosi se na korisnike Consolea; sama instalacija lokalnog agenta za kodiranje ne uključuje vas u prijavljeni zahvaćeni podskup.
• Dokumentacija Consolea za pružatelje usluga kaže da pohranjuje povezane vjerodajnice iza svog pristupnika. Ovo je dokumentirana arhitektura, a ne rekonstrukcija neotkrivenog puta proboja.
• Pregledajte službenu obavijest i aktivnost pružatelja usluga; čuvanje dokaza i opozivanje sumnjivih vjerodajnica opći su savjeti za higijenu incidenta, a ne najavljeni potpuni popis za provjeru popravaka.
• Sphinx šalje promijenjeni kod i odgovore zasebnom recenzentu, mijenja globalni put Git kuke i nema zadanu gornju granicu poziva modela. Njegov ispitivač može pogriješiti, a lokalne provjere se mogu zaobići.
• Pele podržava CSS promjene na istom SVG-u. Njegova usporedba brzine je prijavljena od strane dobavljača; slike i dalje mogu slati mrežne zahtjeve, a korisnički dostavljena oznaka ikone ostaje odgovornost aplikacije.
• Destilacija opisuje navodnu svrhu koja uključuje izlaze modela; put pristupa incidentu, identitet napadača i potpuni utjecaj na korisnike ostaju neotkriveni.

Prevedeni transkript

Prevedeno iz izvornog engleskog pripovijedanja. Dostupni zvuk i titlovi kontroliraju se putem YouTubea.

Tko je zapravo bio pogođen?

0:00 Čujete da je OpenCode hakiran i zamišljate svoje prijenosno računalo. Njegova obavijest imenuje podskup korisnika Consolea. Naša ranija presuda 'potrebna revizija' zaslužuje cijelu priču. U ovom videu, tko je bio pogođen? Što biste trebali provjeriti? Zašto je jedna oznaka važna? Nedjelja je, osamnaesti listopad, i ovo je The Daily Diff. Imajte tu oznaku na umu.

0:18 OpenCode je open source agent za kodiranje za vaš terminal, editor ili stolno računalo. Console je njegov opcionalni hostirani pristupnik modela. Također služi povezane račune pružatelja usluga. Obavijest imenuje taj hostirani dio. Prekonoćna obavijest predvodi današnji diff. Zatim vas Git kuka ispituje o kodu vašeg agenta, a renderer dijagrama objašnjava

0:35 njegove sigurnosne granice. Očigledno je nova značajka produktivnosti čitanje. OpenCode kaže da je pogođeno 1,4 posto korisnika Consolea,

Što zapravo opisuje 1,4%?

0:42 podskup s povezanim vanjskim pružateljima usluga. Kaže da su im poslali e-poštu. To je trenutni opseg tvrtke, s incidentom koji je još uvijek u tijeku. Zadržite nazivnik priložen. Korisnici Consolea su ta populacija. Njegova veličina nije objavljena, tako da ne možemo izračunati broj žrtava. Sama instalacija lokalnog agenta ne stavlja vas u prijavljenu grupu. Programer po imenu Timo kaže da je proboj važniji za kupce nego za

1:03 oznaku destilacije. Pravedna briga. Ljudi žele odgovore o svojim računima dok se internet prepire oko treninga modela. Dokumentacija pružatelja usluga objašnjava granicu povjerenja.

Gdje žive vjerodajnice pružatelja usluga?

1:12 Console pohranjuje vjerodajnicu i prosljeđuje zahtjeve kroz svoj pristupnik. Članovi radnog prostora koriste modele bez da vide ključ pružatelja usluga. Korisna administracija stavlja pristupnik u poziciju kojoj morate vjerovati. Možete dijeliti pristup bez stavljanja uzvodnog ključa na računalo svakog suigrača. Mali postotak i dalje može opisivati ozbiljnu izloženost. Obavijest nije pružila tehnički opis kako je pristup ostvaren. Sigurnosni marketing voli utješnu riječ. Programeri prate koja komponenta drži koju tajnu.

1:37 Console zaslužuje još jednu kutiju u vašem mentalnom dijagramu, što je način na koji svaki arhitektonski crtež postaje duži. Provjerite službenu obavijest i zapise o aktivnostima pružatelja usluga.

Što bi pogođeni korisnik trebao provjeriti?

1:45 Za sumnjivu upotrebu, sačuvajte dokaze i opozovite izloženu vjerodajnicu putem vašeg pružatelja usluga. Namjerno zamijenite pogođene integracije. To je opća higijena incidenta; obavijest ne sadrži potpuni popis za sanaciju korisnika. OpenCode kaže da radi s tvrtkama Anthropic, OpenAI i Google na sanaciji. Ne mogu još podijeliti više detalja. Trebat će nam kasniji izvještaj da procijenimo popravak. Ova obavijest ne daje nikakvo provjereno obećanje o naknadi.

Može li Git kuka provjeriti razumijevanje?

2:08 Sphinx nudi drugačiju vrstu nadzora. Pauzira push zaštićene grane i pita razumijete li kod svog agenta. Zahtjev za povlačenje dobio je usmeni ispit. Vaše automatsko dovršavanje sjedi sumnjivo tiho. Zasebni recenzent čita promijenjenu promjenu putem Git alata samo za čitanje, ne videći generirajući chat. Pita o ponašanju i slučajevima kvara. Odgovorite netočno i dobit ćete drugi scenarij.

2:30 Prođite, i izvorni push se nastavlja. ReadMe pita što se događa kada radnik izvrši promjenu, a zatim se sruši prije potvrde svog posla. Ponovna dostava može ponoviti operaciju. Primjer je ilustrativan; nismo instalirali Sphinx niti izmjerili poboljšanje u pregledu produkcije. Sphinx yolo onemogućuje provjere i bilježi preskakanje. Lokalne kuke se mogu zaobići, a readme kaže da ispitivač može pogriješiti.

2:51 Robot asistent za podučavanje ima dopuštenje da prizna da je robot. Postavka mijenja vaš globalni put Git kuke, uključujući druga spremišta.

Što recenzent Sphinx-a prima?

2:58 Recenzent prima promijenjeni kod i vaše odgovore. Isključenja naziva datoteka ne mogu uhvatiti tajnu zalijepljenu u običan izvorni kod. Pročitajte to prije nego što ga usvojite. Nema zadanog ograničenja na pozive modela. Tipična provjera koristi pet do osam zahtjeva, plus jedan po odgovoru. Postavite ograničenja potrošnje. Možete platiti privilegiju da se dvaput objašnjavate.

Što se mijenja kada Pele renderira Mermaid?

3:17 Kepano iz Obsidiana upravo je objavio Pele, koji pretvara Mermaid tekst u SVG. Odgovarajući skeptičnom programeru, on ukazuje na šest godina pisanja Mermaid tema. Iza pokretanja niti postoji povijest održavanja. Njegov komprimirani paket navodno je oko dvjesto trideset kilobajta, za razliku od Mermaidovih jedan zarez šest megabajta. Podržava vrste dijagrama Mermaid dvanaest zarez jedan. Tvrdnje o brzini su mjerenja projekta. Nismo reproducirali tu usporedbu.

3:40 Napišite tekst dijagrama, dobit ćete SVG, zatim promijenite njegove boje pomoću CSS-a bez ponovnog renderiranja. Isti dijagram zadržava svoj identitet. Vaša se arhitektura može prestati odijevati poput nepovezane web stranice. Pele izbjegava tekst dijagrama i filtrira poveznice.

Koje granice dijagrama ostaju vaše?

3:54 JavaScript povratni pozivi klika se zanemaruju. Slike i dalje mogu slati mrežne zahtjeve kada se prikazuju. Vaša aplikacija posjeduje oznake ikona koje isporučuje i način na koji otvara interne poveznice. Pele vam omogućuje onemogućavanje poveznica i slika, s ograničenjima na izvor i izlaznu veličinu. Aplikacija još uvijek ima posla. Nezgodna vijest za svakoga tko se nada da manja ovisnost smanjuje i odgovornost. Sada ta oznaka.

Što destilacija zapravo objašnjava?

4:15 Destilacija znači treniranje modela pomoću izlaza drugog modela. OpenCode povezuje proboj s napadom destilacije velikih razmjera. To je navodna svrha. Ostavlja put pristupa, identitet napadača i potpuni utjecaj na kupce neotkrivenim. Moja presuda je 'potrebna revizija'. Držao bih incident s Consoleom pod revizijom dok ne budemo mogli procijeniti pogođene vjerodajnice i rješenje. Identificirajte koja usluga drži vaš pristup pružatelju usluga,

4:39 prije nego što vam naslov odabere model prijetnje. Ako biste ovo radije pročitali nego čuli, diff stiže u vašu pristiglu poštu svako jutro, besplatno na the daily diff dot dev, poveznica ispod. I to je diff za danas. Ja sam Niko iz Axrisija. Spojite odgovorno.

Izvori

1. Latest edited OpenCode Console security noticeOpenCode
2. Connected provider credentials and Console gatewayOpenCode documentation
3. Console is an optional providerOpenCode documentation
4. Distillation definition and separate background casesAnthropic
5. Sphinx understanding checks and adoption caveatsSphinx project
6. Pele Mermaid-to-SVG rendererPele project
7. Pele security and application responsibilitiesPele documentation
8. Pele maintainer's public explanationkepano