# OpenCode Console adatvédelmi incidens: érintett kör, szolgáltatói hitelesítő adatok és gyakorlati ellenőrzések

Published: 2026-10-18

Az OpenCode adatvédelmi incidenst jelent, amely a Console felhasználók 1,4%-át érinti, konkrétan azokat az alcsoportokat, amelyek külső szolgáltatókkal vannak összekapcsolva. A nyilvános közlemény nem teszi közzé a hozzáférési útvonalat és a befejezett javítást. Ez a nyomon követés elmagyarázza a dokumentált átjáróhatárt, majd megvizsgálja a Sphinx "megértés ellenőrző" horgát és a Pele diagram-renderelési biztonsági szerződését.

Canonical: https://thedailydiff.dev/hu/video/2026-10-18-opencode-console-breach/

## Amit ez a videó tartalmaz

- Az 1,4%-os adat a Console felhasználókra vonatkozik; a helyi kódolóügynök önmagában történő telepítése nem jelenti az érintett alcsoportba való bekerülést.
- A Console szolgáltatói dokumentációja szerint a csatlakoztatott hitelesítő adatokat az átjárója mögött tárolja. Ez dokumentált architektúra, nem pedig a nyilvánosságra nem hozott incidensútvonal rekonstrukciója.
- Tekintse át a hivatalos értesítést és a szolgáltatói tevékenységet; a bizonyítékok megőrzése és a gyanús hitelesítő adatok visszavonása általános incidenshigiéniai tanácsok, nem pedig bejelentett teljes javítási ellenőrzőlista.
- A Sphinx megváltozott kódot és válaszokat küld egy külön felülvizsgálónak, megváltoztat egy globális Git hook útvonalat, és nincs alapértelmezett modellhívási korlátja. Az ellenőre tévedhet, és a helyi ellenőrzések megkerülhetők.
- A Pele támogatja a CSS-változtatásokat ugyanazon az SVG-n. A sebességösszehasonlítása gyártó által jelentett; a képek továbbra is küldhetnek hálózati kéréseket, és a hívó által szolgáltatott ikonjelölés továbbra is az alkalmazás felelőssége.
- A "desztilláció" egy feltételezett célt ír le, amely modellkimeneteket tartalmaz; az incidens hozzáférési útvonala, a támadó kiléte és a teljes ügyfélhatás továbbra sem nyilvános.

## Fejezetek

- 0:00 Kit érintett valójában?
- 0:39 Mit ír le valójában az 1,4%?
- 1:09 Hol élnek a szolgáltatói hitelesítő adatok?
- 1:43 Mit kell ellenőriznie egy érintett felhasználónak?
- 2:08 Ellenőrizheti-e a Git hook a megértést?
- 2:55 Mit kap a Sphinx felülvizsgálója?
- 3:17 Mi változik, amikor a Pele rendereli a Mermaid-et?
- 3:52 Milyen diagramhatárok maradnak az Önéi?
- 4:15 Mit magyaráz valójában a desztilláció?

## Lefordított átirat

Az eredeti angol narrációból fordítva. A rendelkezésre álló hangot és feliratokat a YouTube vezérli.

### Kit érintett valójában?

0:00 Hallja, hogy az OpenCode-ot feltörték, és elképzeli a laptopját. Az értesítés a Console felhasználók egy alcsoportját nevezi meg. Korábbi "NEEDS REVIEW" ítéletünk megérdemli a teljes történetet. Ebben a videóban ki volt érintett? Mit kell ellenőriznie? Miért fontos egy címke? Vasárnap, október tizennyolcadika van, és ez a The Daily Diff. Tartsa szem előtt ezt a címkét.

0:18 Az OpenCode egy nyílt forráskódú kódolóügynök a termináljához, szerkesztőjéhez vagy asztalához. A Console az opcionális hosztolt modell átjárója. Emellett a csatlakoztatott szolgáltatói fiókokat is kiszolgálja. Az értesítés ezt a hosztolt darabot nevezi meg. Az éjszakai értesítés vezeti a mai "diff"-et. Aztán egy Git hook kérdezi önt a ügynöke kódjáról, és egy diagram renderelő ismerteti

0:35 a biztonsági határait. Úgy tűnik, az új termelékenységi funkció az olvasás. Az OpenCode szerint a Console felhasználók 1,4 százalékát érintette a támadás,

### Mit ír le valójában az 1,4%?

0:42 egy alcsoportot, amelyhez külső szolgáltatók voltak kapcsolva. Azt mondja, e-mailt kaptak. Ez a cég jelenlegi hatóköre, az incidens még folyamatban van. Tartsa meg a nevezőt csatolva. A Console felhasználók alkotják ezt a populációt. Méretét nem hozták nyilvánosságra, így nem tudunk áldozatszámot számolni. A helyi ügynök önmagában történő telepítése nem sorolja Önt az érintett csoportba. Egy timo nevű fejlesztő azt mondja, hogy a "breach" (adatvédelmi incidens) fontosabb az ügyfelek számára, mint a

1:03 "distillation" (desztilláció) címke. Jogos aggodalom. Az emberek válaszokat akarnak a fiókjaikról, miközben az internet a modellképzésről vitatkozik. A szolgáltatói dokumentáció elmagyarázza a bizalmi határt.

### Hol élnek a szolgáltatói hitelesítő adatok?

1:12 A Console tárolja a hitelesítő adatot, és az átjáróján keresztül irányítja a kéréseket. A munkaterület tagjai a szolgáltatói kulcs megtekintése nélkül használják a modelleket. A hasznos adminisztráció olyan helyzetbe hozza az átjárót, amelyben meg kell bíznia. Megoszthatja a hozzáférést anélkül, hogy az upstream kulcsot minden csapattársa gépére feltenné. Egy kis százalék még mindig súlyos kitettséget írhat le. Az értesítés nem tartalmazott technikai magyarázatot a hozzáférés megszerzésének módjáról. A biztonsági marketing szereti a megnyugtató szavakat. A fejlesztők nyomon követik, hogy melyik komponens melyik titkot tárolja.

1:37 A Console megérdemel még egy dobozt a mentális diagramjában, ezzel minden architektúra rajz hosszabb lesz. Ellenőrizze a hivatalos értesítést és a szolgáltatói tevékenységi rekordokat.

### Mit kell ellenőriznie egy érintett felhasználónak?

1:45 Gyanús felhasználás esetén őrizze meg a bizonyítékokat, és vonja vissza a felfedett hitelesítő adatokat a szolgáltatóján keresztül. Cserélje ki az érintett integrációkat megfontoltan. Ez általános incidenshigiénia; az értesítésből hiányzik egy teljes ügyfél- helyreállítási ellenőrzőlista. Az OpenCode azt mondja, hogy együttműködik az Anthropic-kel, az OpenAI-val és a Google-lel a helyreállítás érdekében. További részleteket egyelőre nem oszthat meg. A későbbi jelentésre lesz szükségünk a javítás megítéléséhez. Ez az értesítés nem tartalmaz ellenőrzött visszatérítési ígéretet.

### Ellenőrizheti-e a Git hook a megértést?

2:08 A Sphinx másfajta felügyeletet kínál. Szünetelteti a védett ág "push"-át, és megkérdezi, érti-e az ügynöke kódját. A "pull request" szóbeli vizsgát kapott. Az automatikus kiegészítés gyanúsan csendesen ül. Egy külön felülvizsgáló csak olvasásra alkalmas Git eszközökön keresztül olvassa el az elkötelezett változtatást, anélkül, hogy látná a generáló csevegést. Kérdez a viselkedésről és a hibalehetőségekről. Ha helytelenül válaszol, kap egy másik forgatókönyvet.

2:30 Ha átmegy, az eredeti push folytatódik. A "readme" (olvass el) kérdezi, mi történik, ha egy dolgozó commitol, majd összeomlik, mielőtt elismerné a feladatát. Az újraszállítás megismételheti a műveletet. A példa illusztratív; nem telepítettük a Sphinxet, és nem mértünk javulást a termelési felülvizsgálatban. A Sphinx "yolo" kikapcsolja az ellenőrzéseket és naplózza a kihagyást. A helyi "hook"-ok megkerülhetők, és a "readme" szerint a vizsgáztató tévedhet.

2:51 A robot oktatósegédnek engedélye van bevallani, hogy robot. A beállítás megváltoztatja a globális Git hook útvonalat, beleértve más repository-kat is.

### Mit kap a Sphinx felülvizsgálója?

2:58 A felülvizsgáló megváltozott kódot és az Ön válaszait kapja meg. A fájlnév-kizárások nem tudják elkapni az átlagos forráskódba beillesztett titkot. Olvassa el ezt, mielőtt elfogadná. Nincs alapértelmezett korlát a modellhívásokra. Egy tipikus ellenőrzés öt-nyolc kérést használ, plusz egyet válaszonként. Állítsa be a költési limiteket. Fizethet azért a kiváltságért, hogy kétszer is elmagyarázza magát.

### Mi változik, amikor a Pele rendereli a Mermaid-et?

3:17 Az Obsidian kepanoja épp most adta ki a Pele-t, ami a Mermaid szöveget SVG-vé alakítja. Egy szkeptikus fejlesztőnek válaszolva hat évnyi Mermaid témák írására hivatkozik. A "launch thread" mögött karbantartási előzmények állnak. Tömörített csomagja állítólag kétszázharminc kilobájt körül van, a Mermaid 1,6 megabájttal szemben. Támogatja a Mermaid tizenkét pontos egyes diagramtípusait. A sebességi állítások a projekt saját mérései. Ezt az összehasonlítást nem reprodukáltuk.

3:40 Írja meg a diagram szövegét, kapjon SVG-t, majd változtassa meg a színeit CSS-el újrarenderelés nélkül. Ugyanaz a diagram megőrzi identitását. Az architektúrája abbahagyhatja a nem kapcsolódó weboldalnak öltözést. A Pele elkerüli a diagram szövegét és szűri a linkeket.

### Milyen diagramhatárok maradnak az Önéi?

3:54 A JavaScript "click callback"-ek figyelmen kívül maradnak. A képek továbbra is küldhetnek hálózati kéréseket, amikor megjelennek. Az alkalmazás tulajdonában van az általa szolgáltatott ikonjelölés, és az, hogy hogyan nyitja meg a belső linkeket. A Pele lehetővé teszi a linkek és képek letiltását, forrás- és kimeneti méretkorlátokkal. Az alkalmazásnak még van dolga. Kellemetlen hír mindenkinek, aki azt remélte, hogy egy kisebb függőség a felelősséget is csökkenti. Most az a címke.

### Mit magyaráz valójában a desztilláció?

4:15 A desztilláció azt jelenti, hogy egy modellt egy másik modell kimeneteinek felhasználásával képeznek ki. Az OpenCode a "breach"-et egy nagyszabású desztillációs támadással hozza összefüggésbe. Ez az állítólagos cél. Nem hozza nyilvánosságra a hozzáférési útvonalat, a támadó kilétét és a teljes ügyfélhatást. Az ítéletem: NEEDS REVIEW. A Console incidenst felülvizsgálat alatt tartanám, amíg nem tudjuk felmérni az érintett hitelesítő adatokat és a javítást. Azonosítsa, melyik szolgáltatás tárolja a szolgáltatói hozzáférését,

4:39 mielőtt egy szalagcím választaná ki a fenyegetési modellt Önnek. Ha inkább elolvasná ezt, minthogy hallja tőlem, a "diff" minden reggel megérkezik a postafiókjába, ingyenesen a the dailydiff.dev címen, a link lent található. És ez a mai "diff". Niko vagyok az Axrisitől. Összevonás felelősségteljesen.

## Források

- [Latest edited OpenCode Console security notice](https://x.com/opencode/status/2111519637049319818) — OpenCode
- [Connected provider credentials and Console gateway](https://opencode.ai/v2/docs/console/providers/) — OpenCode documentation
- [Console is an optional provider](https://opencode.ai/v2/docs/console/models/) — OpenCode documentation
- [Distillation definition and separate background cases](https://www.anthropic.com/news/detecting-and-preventing-distillation-attacks) — Anthropic
- [Sphinx understanding checks and adoption caveats](https://github.com/parthh01/sphinx) — Sphinx project
- [Pele Mermaid-to-SVG renderer](https://pele.run/) — Pele project
- [Pele security and application responsibilities](https://pele.run/security) — Pele documentation
- [Pele maintainer's public explanation](https://x.com/kepano/status/2111575190081847776) — kepano