# Pelanggaran Konsol OpenCode: cakupan yang terpengaruh, kredensial penyedia, dan pemeriksaan praktis Published: 2026-10-18 OpenCode melaporkan pelanggaran yang memengaruhi 1,4% pengguna Konsol, khususnya sebagian kecil dengan penyedia eksternal yang terhubung. Pemberitahuan publik tidak mengungkapkan jalur akses dan perbaikan yang telah selesai. Tindak lanjut ini menjelaskan batas gateway yang didokumentasikan, kemudian memeriksa kait pemeriksaan pemahaman Sphinx dan kontrak keamanan rendering diagram Pele. Canonical: https://thedailydiff.dev/id/video/2026-10-18-opencode-console-breach/ ## Isi video ini - Angka 1,4% berlaku untuk pengguna Konsol; menginstal agen pengkodean lokal saja tidak menetapkan inklusi dalam subset yang dilaporkan terpengaruh. - Dokumentasi penyedia Konsol mengatakan bahwa ia menyimpan kredensial yang terhubung di balik gatewaynya. Ini adalah arsitektur yang didokumentasikan, bukan rekonstruksi jalur pelanggaran yang tidak diungkapkan. - Tinjau pemberitahuan resmi dan aktivitas penyedia; menyimpan bukti dan mencabut kredensial yang mencurigakan adalah saran kebersihan insiden umum, bukan daftar periksa perbaikan lengkap yang diumumkan. - Sphinx mengirimkan kode yang diubah dan jawaban ke peninjau terpisah, mengubah jalur kait Git global, dan tidak memiliki batas panggilan model default. Pengujinya bisa salah dan pemeriksaan lokal dapat dilewati. - Pele mendukung perubahan CSS ke SVG yang sama. Perbandingan kecepatannya dilaporkan oleh vendor; gambar masih dapat mengeluarkan permintaan jaringan dan markup ikon yang disediakan pemanggil tetap menjadi tanggung jawab aplikasi. - Distilasi menggambarkan tujuan yang diduga melibatkan keluaran model; jalur akses insiden, identitas penyerang, dan dampak pelanggan penuh tetap tidak diungkapkan. ## Bab - 0:00 Siapa yang sebenarnya terpengaruh? - 0:39 Apa sebenarnya yang dijelaskan oleh 1,4%? - 1:09 Di mana kredensial penyedia berada? - 1:43 Apa yang harus diperiksa oleh pengguna yang terpengaruh? - 2:08 Dapatkah kait Git memeriksa pemahaman? - 2:55 Apa yang diterima peninjau Sphinx? - 3:17 Apa yang berubah saat Pele merender Mermaid? - 3:52 Batas diagram mana yang tetap menjadi milik Anda? - 4:15 Apa sebenarnya yang dijelaskan oleh distilasi? ## Transkrip terjemahan Diterjemahkan dari narasi asli bahasa Inggris. Audio dan teks tersedia yang dikontrol oleh YouTube. ### Siapa yang sebenarnya terpengaruh? 0:00 Anda mendengar OpenCode diretas dan membayangkan laptop Anda. Pemberitahuannya menyebutkan subset pengguna Konsol. Putusan penilaian NEEDS REVIEW kami sebelumnya layak mendapatkan cerita lengkapnya. Dalam video ini, siapa yang terpengaruh? Apa yang harus Anda periksa? Mengapa satu label penting? Ini hari Minggu, delapan belas Oktober, dan ini The Daily Diff. Ingat label itu. 0:18 OpenCode adalah agen pengkodean sumber terbuka untuk terminal Anda, editor atau desktop. Konsol adalah gateway model yang dihosting opsionalnya. Ini juga melayani akun penyedia yang Anda hubungkan. Pemberitahuan itu menyebutkan bagian yang dihosting itu. Pemberitahuan semalam memimpin diff hari ini. Kemudian kait Git menguji Anda tentang kode agen Anda, dan perender diagram menjelaskan 0:35 batas keamanannya. Rupanya fitur produktivitas baru adalah membaca. OpenCode mengatakan 1,4 persen pengguna Konsol terkena dampak, ### Apa sebenarnya yang dijelaskan oleh 1,4%? 0:42 subset dengan penyedia eksternal yang terhubung. Dikatakan mereka diemail. Itu adalah ruang lingkup perusahaan saat ini, dengan insiden masih berlangsung. Tetap lampirkan penyebutnya. Pengguna konsol adalah populasi itu. Ukurannya tidak diungkapkan, jadi kami tidak dapat menghitung jumlah korban. Menginstal agen lokal saja tidak menempatkan Anda dalam grup yang dilaporkan. Seorang pengembang bernama timo mengatakan pelanggaran lebih penting bagi pelanggan daripada 1:03 label distilasi. Kekhawatiran yang wajar. Orang-orang menginginkan jawaban tentang akun mereka sementara internet berdebat tentang pelatihan model. Dokumentasi penyedia menjelaskan batas kepercayaan. ### Di mana kredensial penyedia berada? 1:12 Konsol menyimpan kredensial dan merutekan permintaan melalui gatewaynya. Anggota ruang kerja menggunakan model tanpa melihat kunci penyedia. Administrasi yang berguna menempatkan gateway pada posisi yang harus Anda percayai. Anda dapat berbagi akses tanpa menempatkan kunci hulu pada setiap rekan tim mesin. Persentase kecil masih dapat menggambarkan paparan serius. Pemberitahuan tersebut belum memberikan penjelasan teknis tentang bagaimana akses diperoleh. Pemasaran keamanan menyukai kata yang menenangkan. Pengembang mengikuti komponen mana yang menyimpan rahasia mana. 1:37 Konsol layak mendapatkan kotak lain di diagram mental Anda, itulah bagaimana setiap gambar arsitektur menjadi lebih panjang. Periksa pemberitahuan resmi dan catatan aktivitas penyedia. ### Apa yang harus diperiksa oleh pengguna yang terpengaruh? 1:45 Untuk penggunaan yang mencurigakan, simpan bukti dan cabut kredensial yang terekspos melalui penyedia Anda. Ganti integrasi yang terpengaruh secara sengaja. Itu adalah kebersihan insiden umum; pemberitahuan tersebut tidak memiliki pelanggan lengkap daftar periksa remediasi. OpenCode mengatakan sedang bekerja sama dengan Anthropic, OpenAI dan Google untuk remediasi. Belum dapat berbagi detail lebih lanjut. Kita akan membutuhkan laporan nanti untuk menilai perbaikannya. Pemberitahuan ini tidak membuat janji penggantian yang diverifikasi. ### Dapatkah kait Git memeriksa pemahaman? 2:08 Sphinx menawarkan jenis pengawasan yang berbeda. Ini menjeda dorongan cabang yang dilindungi dan menanyakan apakah Anda memahami agen Anda kode. Permintaan tarik telah memperoleh ujian lisan. Pelengkapan otomatis Anda duduk dengan sangat tenang. Peninjau terpisah membaca perubahan yang dikomit melalui alat Git hanya baca, tanpa melihat obrolan yang menghasilkan. Ini bertanya tentang perilaku dan kasus kegagalan. Jawab salah dan Anda mendapatkan skenario lain. 2:30 Lewati, dan dorongan asli berlanjut. Readme bertanya apa yang terjadi ketika seorang pekerja melakukan commit, lalu crash sebelum mengakui pekerjaannya. Pengiriman ulang dapat mengulangi operasi. Contohnya adalah ilustrasi; kami belum menginstal Sphinx atau mengukur peningkatan dalam tinjauan produksi. Sphinx yolo menonaktifkan pemeriksaan dan mencatat lompatan. Kait lokal dapat dilewati, dan readme mengatakan penguji bisa salah. 2:51 Asisten pengajar robot memiliki izin untuk mengakui bahwa itu adalah robot. Pengaturan mengubah jalur kait Git global Anda, termasuk repositori lain. ### Apa yang diterima peninjau Sphinx? 2:58 Peninjau menerima kode yang diubah dan jawaban Anda. Pengecualian nama file tidak dapat menangkap rahasia yang ditempelkan ke sumber biasa. Baca itu sebelum mengadopsinya. Tidak ada batasan default pada panggilan model. Pemeriksaan tipikal menggunakan lima hingga delapan permintaan, ditambah satu per jawaban. Tetapkan batas pengeluaran. Anda dapat membayar hak istimewa untuk menjelaskan diri sendiri dua kali. ### Apa yang berubah saat Pele merender Mermaid? 3:17 Kepano dari Obsidian baru saja merilis Pele, yang mengubah teks Mermaid menjadi SVG. Menanggapi pengembang yang skeptis, dia menunjuk enam tahun menulis Mermaid tema. Ada riwayat pemeliharaan di balik thread peluncuran. Paket terkompresinya dilaporkan sekitar dua ratus tiga puluh kilobyte, melawan Mermaid 1,6 megabyte. Ini mendukung jenis diagram Mermaid 12.1. Klaim kecepatan adalah pengukuran proyek. Kami belum mereproduksi perbandingan itu. 3:40 Tulis teks diagram, dapatkan SVG, lalu ubah warnanya dengan CSS tanpa merendernya lagi. Diagram yang sama mempertahankan identitasnya. Arsitektur Anda dapat berhenti berpakaian seperti situs web yang tidak terkait. Pele melarikan diri dari teks diagram dan memfilter tautan. ### Batas diagram mana yang tetap menjadi milik Anda? 3:54 Callback klik JavaScript diabaikan. Gambar masih dapat membuat permintaan jaringan saat ditampilkan. Aplikasi Anda memiliki markup ikon yang disediakannya dan bagaimana ia membuka internal tautan. Pele memungkinkan Anda menonaktifkan tautan dan gambar, dengan batasan pada ukuran sumber dan keluaran. Aplikasi masih memiliki pekerjaan yang harus dilakukan. Berita canggung bagi siapa pun yang berharap ketergantungan yang lebih kecil juga mengurangi tanggung jawab. Sekarang label itu. ### Apa sebenarnya yang dijelaskan oleh distilasi? 4:15 Distilasi berarti melatih model menggunakan keluaran model lain. OpenCode mengaitkan pelanggaran tersebut dengan serangan distilasi skala besar. Itulah tujuan yang diduga. Ini meninggalkan jalur akses, identitas penyerang, dan dampak pelanggan penuh tidak diungkapkan. Putusan saya adalah NEEDS REVIEW. Saya akan tetap meninjau insiden Konsol sampai kami dapat menilai yang terpengaruh kredensial dan perbaikannya. Identifikasi layanan mana yang memegang akses penyedia Anda, 4:39 sebelum sebuah berita utama memilih model ancaman untuk Anda. Jika Anda lebih suka membaca ini daripada mendengar saya mengatakannya, perbedaan itu mendarat di kotak masuk Anda setiap pagi, gratis di the daily diff dot dev, tautan di bawah. Dan itulah perbedaannya untuk hari ini. Saya Niko dari Axrisi. Gabungkan secara bertanggung jawab. ## Sumber - [Latest edited OpenCode Console security notice](https://x.com/opencode/status/2111519637049319818) — OpenCode - [Connected provider credentials and Console gateway](https://opencode.ai/v2/docs/console/providers/) — OpenCode documentation - [Console is an optional provider](https://opencode.ai/v2/docs/console/models/) — OpenCode documentation - [Distillation definition and separate background cases](https://www.anthropic.com/news/detecting-and-preventing-distillation-attacks) — Anthropic - [Sphinx understanding checks and adoption caveats](https://github.com/parthh01/sphinx) — Sphinx project - [Pele Mermaid-to-SVG renderer](https://pele.run/) — Pele project - [Pele security and application responsibilities](https://pele.run/security) — Pele documentation - [Pele maintainer's public explanation](https://x.com/kepano/status/2111575190081847776) — kepano