OpenCode Console-ის დარღვევა: დაზარალებული მოცულობა, პროვაიდერის სერთიფიკატები და პრაქტიკული შემოწმებები

რას მოიცავს ეს ვიდეო

• 1.4% მაჩვენებელი ვრცელდება Console-ის მომხმარებლებზე; მხოლოდ ლოკალური კოდირების აგენტის დაყენება არ ნიშნავს მოხსენებულ დაზარალებულ ქვეჯგუფში ჩართვას.
• Console-ის პროვაიდერის დოკუმენტაციაში ნათქვამია, რომ ის ინახავს დაკავშირებულ სერთიფიკატებს თავისი კარიბჭის უკან. ეს არის დოკუმენტირებული არქიტექტურა და არა გაუმჟღავნებელი დარღვევის გზის რეკონსტრუქცია.
• გადახედეთ ოფიციალურ შეტყობინებას და პროვაიდერის აქტივობას; მტკიცებულებების შენარჩუნება და საეჭვო სერთიფიკატების გაუქმება ზოგადი ინციდენტის ჰიგიენის რჩევაა და არა გამოცხადებული სრული შეკეთების ჩამონათვალი.
• Sphinx აგზავნის შეცვლილ კოდს და პასუხებს ცალკე შემფასებელს, ცვლის გლობალურ Git hook-ის გზას და არ აქვს ნაგულისხმევი მოდელის გამოძახების ლიმიტი. მის შემმოწმებელს შეუძლია შეცდეს და ლოკალური შემოწმებები შეიძლება გვერდის ავლით მოხდეს.
• Pele მხარს უჭერს CSS ცვლილებებს იმავე SVG-ზე. მისი სიჩქარის შედარება მიმწოდებლის მიერ არის მოხსენებული; სურათებს მაინც შეუძლიათ ქსელური მოთხოვნების გაგზავნა და გამომძახებლის მიერ მოწოდებული ხატულების აღნიშვნა რჩება აპლიკაციის პასუხისმგებლობად.
• დისტილაცია აღწერს სავარაუდო მიზანს, რომელიც მოიცავს მოდელის გამომუშავებას; ინციდენტის წვდომის გზა, თავდამსხმელის იდენტობა და სრული მომხმარებელთა გავლენა რჩება გაუმჟღავნებელი.

ნათარგმნი ტრანსკრიპტი

ნათარგმნია ორიგინალური ინგლისური ნარატივიდან. ხელმისაწვდომი აუდიო და სუბტიტრები კონტროლდება YouTube-ის მიერ.

ვინ დაზარალდა რეალურად?

0:00 გესმით, რომ OpenCode გატეხეს და წარმოიდგენთ თქვენს ლეპტოპს. მის შეტყობინებაში დასახელებულია Console-ის მომხმარებელთა ქვეჯგუფი. ჩვენი ადრინდელი "საჭიროებს გადახედვას" ვერდიქტი იმსახურებს სრულ ისტორიას. ამ ვიდეოში, ვინ დაზარალდა? რა უნდა შეამოწმოთ? რატომ აქვს ერთ იარლიყს მნიშვნელობა? კვირაა, თვრამეტი ოქტომბერი, და ეს არის The Daily Diff. გაითვალისწინეთ ეს იარლიყი.

0:18 OpenCode არის ღია კოდის კოდირების აგენტი თქვენი ტერმინალისთვის, რედაქტორისთვის ან დესკტოპისთვის. Console არის მისი არჩევითი ჰოსტინგური მოდელის კარიბჭე. ის ასევე ემსახურება პროვაიდერის ანგარიშებს, რომლებსაც აკავშირებთ. შეტყობინებაში დასახელებულია ეს ჰოსტინგური ნაწილი. გუშინდელი შეტყობინება დღევანდელ დიფს უძღვება. შემდეგ Git hook გკითხავთ თქვენი აგენტის კოდის შესახებ, და დიაგრამის რენდერი განმარტავს

0:35 მის უსაფრთხოების საზღვრებს. როგორც ჩანს, ახალი პროდუქტიულობის ფუნქცია კითხვაა. OpenCode ამბობს, რომ Console-ის მომხმარებელთა 1.4 პროცენტი დაზარალდა,

რას აღწერს რეალურად 1.4%?

0:42 ქვეჯგუფი, რომელსაც გარე პროვაიდერები ჰქონდა დაკავშირებული. ნათქვამია, რომ მათ ელფოსტა გაუგზავნეს. ეს არის კომპანიის მიმდინარე მოცულობა, ინციდენტი ჯერ კიდევ გრძელდება. შეინახეთ მნიშვნელი მიმაგრებული. Console-ის მომხმარებლები არიან ეს მოსახლეობა. მისი ზომა გაუმჟღავნებელია, ამიტომ არ შეგვიძლია მსხვერპლთა რაოდენობის გამოთვლა. მხოლოდ ლოკალური აგენტის დაყენება არ გაყენებთ მოხსენებულ ჯგუფში. დეველოპერი სახელად ტიმო ამბობს, რომ დარღვევა უფრო მნიშვნელოვანია მომხმარებლებისთვის, ვიდრე

1:03 დისტილაციის იარლიყი. სამართლიანი შეშფოთება. ადამიანებს სურთ პასუხები თავიანთ ანგარიშებზე, სანამ ინტერნეტი კამათობს მოდელის ტრენინგზე. პროვაიდერის დოკუმენტაცია განმარტავს ნდობის საზღვარს.

სად ცხოვრობს პროვაიდერის სერთიფიკატი?

1:12 Console ინახავს სერთიფიკატს და მოთხოვნებს აგზავნის თავისი კარიბჭის გავლით. სამუშაო სივრცის წევრები იყენებენ მოდელებს პროვაიდერის გასაღების ნახვის გარეშე. სასარგებლო ადმინისტრირება აყენებს კარიბჭეს პოზიციაში, რომელსაც უნდა ენდოთ. შეგიძლიათ გააზიაროთ წვდომა ზედა დინების გასაღების ყოველ თანაგუნდელის მანქანაზე განთავსების გარეშე. მცირე პროცენტს მაინც შეუძლია სერიოზული გაჟონვის აღწერა. შეტყობინებაში არ არის მოცემული ტექნიკური ანგარიში, თუ როგორ მოხდა წვდომა. უსაფრთხოების მარკეტინგს მოსწონს დამამშვიდებელი სიტყვა. დეველოპერები მიჰყვებიან, რომელი კომპონენტი ინახავს რომელ საიდუმლოს.

1:37 Console იმსახურებს კიდევ ერთ ყუთს თქვენს გონებრივ დიაგრამაში, რაც ყველა არქიტექტურული ნახატის გახანგრძლივებას იწვევს. შეამოწმეთ ოფიციალური შეტყობინება და პროვაიდერის აქტივობის ჩანაწერები.

რა უნდა შეამოწმოს დაზარალებულმა მომხმარებელმა?

1:45 საეჭვო გამოყენებისთვის, შეინახეთ მტკიცებულებები და გააუქმეთ გაჟონილი სერთიფიკატი თქვენი პროვაიდერის მეშვეობით. შეცვალეთ დაზარალებული ინტეგრაციები განზრახ. ეს ზოგადი ინციდენტის ჰიგიენაა; შეტყობინებას აკლია სრული მომხმარებლის აღდგენის ჩამონათვალი. OpenCode ამბობს, რომ მუშაობს Anthropic-თან, OpenAI-თან და Google-თან გამოსწორებისთვის. ჯერჯერობით მეტის გაზიარება არ შეუძლია. გამოსწორების შესაფასებლად მოგვიანებით მოხსენება დაგვჭირდება. ეს შეტყობინება არ შეიცავს დადასტურებულ ანაზღაურების დაპირებას.

შეუძლია Git hook-ს შეამოწმოს გაგება?

2:08 Sphinx გთავაზობთ ზედამხედველობის სხვა სახეს. ის აჩერებს დაცული ტოტის და push-ს და გეკითხებათ, გესმით თუ არა თქვენი აგენტის კოდი. pull request-მა მიიღო ზეპირი გამოცდა. თქვენი ავტოშევსება საეჭვოდ ჩუმად ზის. ცალკე შემფასებელი კითხულობს დაფიქსირებულ ცვლილებას მხოლოდ წაკითხვის რეჟიმში Git ინსტრუმენტების მეშვეობით, გენერირებული ჩატის ნახვის გარეშე. ის კითხულობს ქცევის და წარუმატებლობის შემთხვევების შესახებ. არასწორად უპასუხეთ და მიიღებთ კიდევ ერთ სცენარს.

2:30 ჩააბარეთ, და ორიგინალური push გრძელდება. readme გეკითხებათ, რა ხდება, როდესაც მუშაკი აფიქსირებს ცვლილებებს, შემდეგ კი გაითიშება თავისი სამუშაოს დადასტურებამდე. ხელახალი მიწოდებამ შეიძლება გაიმეოროს ოპერაცია. მაგალითი ილუსტრაციულია; ჩვენ არ დაგვიყენებია Sphinx ან არ გაგვიზომია გაუმჯობესება წარმოების მიმოხილვაში. Sphinx yolo გამორთავს შემოწმებებს და აღრიცხავს გამოტოვებას. ლოკალური hook-ები შეიძლება გვერდის ავლით მოხდეს, და readme-ში ნათქვამია, რომ შემმოწმებელი შეიძლება შეცდეს.

2:51 რობოტ მასწავლებლის ასისტენტს აქვს ნებართვა, აღიაროს, რომ ის რობოტია. დაყენება ცვლის თქვენს გლობალურ Git hook-ის გზას, სხვა რეპოზიტორების ჩათვლით.

რას იღებს Sphinx-ის შემფასებელი?

2:58 შემფასებელი იღებს შეცვლილ კოდს და თქვენს პასუხებს. ფაილის სახელის გამორიცხვებს არ შეუძლიათ საიდუმლოს დაჭერა, რომელიც ჩვეულებრივ წყაროშია ჩასმული. წაიკითხეთ ეს მის მიღებამდე. მოდელის გამოძახებებზე ნაგულისხმევი ლიმიტი არ არის. ტიპიური შემოწმება იყენებს ხუთიდან რვა მოთხოვნას, პლუს ერთი თითო პასუხზე. დააყენეთ ხარჯვის ლიმიტები. შეგიძლიათ გადაიხადოთ იმ პრივილეგიისთვის, რომ ორჯერ ახსნათ საკუთარი თავი.

რა იცვლება, როდესაც Pele რენდერებს Mermaid-ს?

3:17 Obsidian-ის kepano-მ ახლახან გამოუშვა Pele, რომელიც Mermaid ტექსტს SVG-ად აქცევს. სკეპტიკურად განწყობილ დეველოპერს პასუხად, ის მიუთითებს ექვსწლიან Mermaid თემების წერაზე. გაშვების თემის უკან მოვლა-პატრონობის ისტორია დგას. მისი შეკუმშული შეკვრა დაახლოებით ორას ოცდაათ კილობაიტს შეადგენს, Mermaid-ის 1.6 მეგაბაიტის წინააღმდეგ. ის მხარს უჭერს Mermaid 12.1-ის დიაგრამის ტიპებს. სიჩქარის განცხადებები პროექტის გაზომვებია. ჩვენ არ გაგვიმეორებია ეს შედარება.

3:40 დაწერეთ დიაგრამის ტექსტი, მიიღეთ SVG, შემდეგ შეცვალეთ მისი ფერები CSS-ით მისი ხელახალი რენდერის გარეშე. იგივე დიაგრამა ინარჩუნებს თავის იდენტობას. თქვენს არქიტექტურას შეუძლია შეწყვიტოს უცნობი ვებსაიტის მსგავსად ჩაცმა. Pele აცლის დიაგრამის ტექსტს და ფილტრავს ბმულებს.

რომელი დიაგრამის საზღვრები რჩება თქვენი?

3:54 JavaScript-ის დაწკაპუნების callbacks იგნორირებულია. სურათებს მაინც შეუძლიათ ქსელური მოთხოვნების გაგზავნა ჩვენებისას. თქვენი აპლიკაცია ფლობს ხატულების აღნიშვნას, რომელსაც აწვდის და როგორ ხსნის შიდა ბმულებს. Pele გაძლევთ საშუალებას გამორთოთ ბმულები და სურათები, წყაროსა და გამომავალი ზომის ლიმიტებით. აპლიკაციას ჯერ კიდევ აქვს სამუშაო გასაკეთებელი. უხერხული ამბავი მათთვის, ვისაც იმედი ჰქონდა, რომ უფრო მცირე დამოკიდებულება ასევე შეამცირებს პასუხისმგებლობას. ახლა კი ის იარლიყი.

რას ხსნის სინამდვილეში დისტილაცია?

4:15 დისტილაცია ნიშნავს მოდელის გაწვრთნას სხვა მოდელის გამომუშავების გამოყენებით. OpenCode დარღვევას უკავშირებს ფართომასშტაბიან დისტილაციურ შეტევას. ეს არის სავარაუდო მიზანი. ის ტოვებს წვდომის გზას, თავდამსხმელის იდენტობას და მომხმარებელთა სრულ გავლენას გაუმჟღავნებელს. ჩემი ვერდიქტია "საჭიროებს გადახედვას". მე გავაგრძელებდი Console-ის ინციდენტის გადახედვას, სანამ არ შევაფასებდით დაზარალებულ სერთიფიკატებს და გამოსწორებას. იდენტიფიცირება, რომელი სერვისი ინახავს თქვენს პროვაიდერის წვდომას,

4:39 სანამ სათაური თქვენთვის საფრთხის მოდელს აირჩევს. თუ გირჩევნიათ ამის წაკითხვა, ვიდრე მოსმენა, diff ყოველ დილით თქვენს შემოსულებში ხვდება, უფასოდ the daily diff dot dev-ზე, ბმული ქვემოთ. და ეს არის დღევანდელი diff. მე ვარ ნიკო Axrisi-დან. შერწყმა პასუხისმგებლობით.

წყაროები

1. Latest edited OpenCode Console security noticeOpenCode
2. Connected provider credentials and Console gatewayOpenCode documentation
3. Console is an optional providerOpenCode documentation
4. Distillation definition and separate background casesAnthropic
5. Sphinx understanding checks and adoption caveatsSphinx project
6. Pele Mermaid-to-SVG rendererPele project
7. Pele security and application responsibilitiesPele documentation
8. Pele maintainer's public explanationkepano