OpenCode Console breach: ຜົນກະທົບ, ຂໍ້ມູນປະຈຳຕົວຂອງຜູ້ໃຫ້ບໍລິການ ແລະ ການກວດສອບພາກປະຕິບັດ

ສິ່ງທີ່ວິດີໂອນີ້ກວມເອົາ

• ຕົວເລກ 1.4% ນຳໃຊ້ກັບຜູ້ໃຊ້ Console; ການຕິດຕັ້ງຕົວແທນການຂຽນໂຄດໃນທ້ອງຖິ່ນຢ່າງດຽວບໍ່ໄດ້ສ້າງການລວມເຂົ້າໃນກຸ່ມຍ່ອຍທີ່ຖືກລາຍງານວ່າມີຜົນກະທົບ.
• ເອກະສານຜູ້ໃຫ້ບໍລິການຂອງ Console ກ່າວວ່າມັນເກັບຂໍ້ມູນປະຈຳຕົວທີ່ເຊື່ອມຕໍ່ຢູ່ເບື້ອງຫຼັງປະຕູຂອງມັນ. ນີ້ແມ່ນສະຖາປັດຕະຍະກຳທີ່ຖືກບັນທຶກໄວ້, ບໍ່ແມ່ນການສ້າງຄືນໃໝ່ຂອງເສັ້ນທາງການລະເມີດທີ່ບໍ່ຖືກເປີດເຜີຍ.
• ກວດສອບແຈ້ງການຢ່າງເປັນທາງການ ແລະ ກິດຈະກຳຂອງຜູ້ໃຫ້ບໍລິການ; ການຮັກສາຫຼັກຖານ ແລະ ການຖອນຄືນຂໍ້ມູນປະຈຳຕົວທີ່ໜ້າສົງໄສແມ່ນຄຳແນະນຳທົ່ວໄປກ່ຽວກັບສຸຂະອະນາໄມເຫດການ, ບໍ່ແມ່ນລາຍການກວດສອບການສ້ອມແປງທີ່ສຳເລັດແລ້ວທີ່ຖືກປະກາດ.
• Sphinx ສົ່ງລະຫັດທີ່ປ່ຽນແປງ ແລະ ຄຳຕອບໄປຫາຜູ້ກວດສອບແຍກຕ່າງຫາກ, ປ່ຽນເສັ້ນທາງ Git hook ທົ່ວໂລກ, ແລະ ບໍ່ມີຂີດຈຳກັດການໂທຫາຕົວແບບເລີ່ມຕົ້ນ. ຜູ້ກວດສອບຂອງມັນສາມາດຜິດພາດໄດ້ ແລະ ການກວດສອບໃນທ້ອງຖິ່ນສາມາດຖືກຂ້າມຜ່ານໄດ້.
• Pele ຮອງຮັບການປ່ຽນແປງ CSS ໄປຍັງ SVG ດຽວກັນ. ການປຽບທຽບຄວາມໄວຂອງມັນແມ່ນຖືກລາຍງານໂດຍຜູ້ຂາຍ; ຮູບພາບຍັງສາມາດອອກຄຳຮ້ອງຂໍເຄືອຂ່າຍໄດ້ ແລະ ການໝາຍຮູບສັນຍາລັກທີ່ຜູ້ໂທສະໜອງໃຫ້ຍັງຄົງເປັນຄວາມຮັບຜິດຊອບຂອງແອັບພລິເຄຊັນ.
• ການກັ່ນຕອງອະທິບາຍຈຸດປະສົງທີ່ຖືກກ່າວຫາທີ່ກ່ຽວຂ້ອງກັບຜົນຜະລິດຂອງຕົວແບບ; ເສັ້ນທາງການເຂົ້າເຖິງຂອງເຫດການ, ຕົວຕົນຂອງຜູ້ໂຈມຕີ ແລະ ຜົນກະທົບຕໍ່ລູກຄ້າເຕັມທີ່ຍັງບໍ່ຖືກເປີດເຜີຍ.

ບົດບັນທຶກທີ່ແປແລ້ວ

ແປຈາກຄຳບັນຍາຍຕົ້ນສະບັບພາສາອັງກິດ. ສຽງ ແລະ ຄຳບັນຍາຍທີ່ມີໃຫ້ແມ່ນຄວບຄຸມໂດຍ YouTube.

ໃຜຖືກຜົນກະທົບຕົວຈິງ?

0:00 ເຈົ້າໄດ້ຍິນ OpenCode ຖືກ hack ແລະນຶກພາບແລັບທັອບຂອງເຈົ້າ. ແຈ້ງການຂອງມັນກ່າວເຖິງກຸ່ມຍ່ອຍຂອງຜູ້ໃຊ້ Console. ຄຳຕັດສິນ NEEDS REVIEW ຂອງພວກເຮົາກ່ອນໜ້ານີ້ສົມຄວນໄດ້ຮັບເລື່ອງເຕັມ. ໃນວິດີໂອນີ້, ໃຜຖືກຜົນກະທົບ? ເຈົ້າຄວນກວດສອບຫຍັງ? ເປັນຫຍັງປ້າຍຊື່ໜຶ່ງຈຶ່ງສຳຄັນ? ວັນອາທິດທີ 18 ຕຸລາ, ແລະນີ້ຄື The Daily Diff. ຈື່ປ້າຍຊື່ນັ້ນໄວ້.

0:18 OpenCode ແມ່ນຕົວແທນການຂຽນໂຄດ open source ສຳລັບ terminal ຂອງເຈົ້າ, editor ຫຼື desktop. Console ແມ່ນ gateway ຕົວແບບທີ່ເປັນເຈົ້າພາບທາງເລືອກຂອງມັນ. ມັນຍັງໃຫ້ບໍລິການບັນຊີຜູ້ໃຫ້ບໍລິການທີ່ເຈົ້າເຊື່ອມຕໍ່. ແຈ້ງການກ່າວເຖິງສ່ວນທີ່ເປັນເຈົ້າພາບນັ້ນ. ແຈ້ງການໃນຄືນນີ້ເປັນຂ່າວຫຼັກຂອງ diff ມື້ນີ້. ຈາກນັ້ນ Git hook ຈະຖາມເຈົ້າກ່ຽວກັບ ລະຫັດຂອງຕົວແທນຂອງເຈົ້າ, ແລະຕົວສະແດງແຜນພາບຈະສະແດງ

0:35 ຂອບເຂດຄວາມປອດໄພຂອງມັນ. ປະກົດວ່າຄຸນສົມບັດການຜະລິດໃໝ່ຄືການອ່ານ. OpenCode ກ່າວວ່າ 1.4 ສ່ວນຮ້ອຍຂອງຜູ້ໃຊ້ Console ຖືກຜົນກະທົບ,

1.4% ອະທິບາຍຫຍັງຕົວຈິງ?

0:42 ກຸ່ມຍ່ອຍທີ່ມີຜູ້ໃຫ້ບໍລິການພາຍນອກເຊື່ອມໂຍງ. ມັນກ່າວວ່າພວກເຂົາໄດ້ຮັບອີເມລ໌. ນັ້ນແມ່ນຂອບເຂດປະຈຸບັນຂອງບໍລິສັດ, ໂດຍເຫດການຍັງດຳເນີນຢູ່. ຮັກສາຕົວຫານຕິດຢູ່. ຜູ້ໃຊ້ Console ແມ່ນປະຊາກອນນັ້ນ. ຂະໜາດຂອງມັນບໍ່ຖືກເປີດເຜີຍ, ດັ່ງນັ້ນພວກເຮົາບໍ່ສາມາດຄິດໄລ່ຈຳນວນຜູ້ຖືກເຄາະຮ້າຍໄດ້. ການຕິດຕັ້ງຕົວແທນໃນທ້ອງຖິ່ນຢ່າງດຽວບໍ່ໄດ້ເຮັດໃຫ້ເຈົ້າຢູ່ໃນກຸ່ມທີ່ຖືກລາຍງານ. ນັກພັດທະນາຊື່ timo ກ່າວວ່າການລະເມີດສຳຄັນຕໍ່ລູກຄ້າຫຼາຍກວ່າ

1:03 ປ້າຍຊື່ distillation. ຄວາມເປັນຫ່ວງທີ່ຖືກຕ້ອງ. ຄົນຢາກໄດ້ຄຳຕອບກ່ຽວກັບບັນຊີຂອງພວກເຂົາໃນຂະນະທີ່ອິນເຕີເນັດກຳລັງໂຕ້ຖຽງກ່ຽວກັບ ການຝຶກອົບຮົມຕົວແບບ. ເອກະສານຜູ້ໃຫ້ບໍລິການອະທິບາຍຂອບເຂດຄວາມໄວ້ວາງໃຈ.

ຂໍ້ມູນປະຈຳຕົວຂອງຜູ້ໃຫ້ບໍລິການຢູ່ໃສ?

1:12 Console ເກັບຂໍ້ມູນປະຈຳຕົວ ແລະ ສົ່ງຄຳຮ້ອງຂໍຜ່ານ gateway ຂອງມັນ. ສະມາຊິກ workspace ໃຊ້ຕົວແບບໂດຍບໍ່ເຫັນລະຫັດຜູ້ໃຫ້ບໍລິການ. ການບໍລິຫານທີ່ມີປະໂຫຍດເຮັດໃຫ້ gateway ຢູ່ໃນຕຳແໜ່ງທີ່ເຈົ້າຕ້ອງໄວ້ວາງໃຈ. ເຈົ້າສາມາດແບ່ງປັນການເຂົ້າເຖິງໂດຍບໍ່ຕ້ອງໃສ່ລະຫັດ upstream ໃສ່ທຸກເຄື່ອງຂອງເພື່ອນຮ່ວມງານ. ເປີເຊັນນ້ອຍໆຍັງສາມາດອະທິບາຍເຖິງການເປີດເຜີຍທີ່ຮ້າຍແຮງໄດ້. ແຈ້ງການຍັງບໍ່ໄດ້ໃຫ້ລາຍລະອຽດທາງດ້ານເຕັກນິກກ່ຽວກັບວິທີການເຂົ້າເຖິງ. ການຕະຫຼາດຄວາມປອດໄພມັກຄຳສັບທີ່ສະບາຍໃຈ. ນັກພັດທະນາຕິດຕາມວ່າອົງປະກອບໃດຖືຄວາມລັບໃດ.

1:37 Console ສົມຄວນໄດ້ຮັບອີກກ່ອງໜຶ່ງໃນແຜນພາບທາງຈິດໃຈຂອງເຈົ້າ, ເຊິ່ງເປັນວິທີທີ່ຮູບແຕ້ມສະຖາປັດຕະຍະກຳທຸກອັນຍາວຂຶ້ນ. ກວດສອບແຈ້ງການຢ່າງເປັນທາງການ ແລະ ບັນທຶກກິດຈະກຳຂອງຜູ້ໃຫ້ບໍລິການ.

ຜູ້ໃຊ້ທີ່ຖືກຜົນກະທົບຄວນກວດສອບຫຍັງ?

1:45 ສຳລັບການນຳໃຊ້ທີ່ໜ້າສົງໄສ, ຮັກສາຫຼັກຖານ ແລະ ຖອນຄືນຂໍ້ມູນປະຈຳຕົວທີ່ຖືກເປີດເຜີຍຜ່ານ ຜູ້ໃຫ້ບໍລິການຂອງເຈົ້າ. ປ່ຽນການເຊື່ອມໂຍງທີ່ຖືກຜົນກະທົບຢ່າງຕັ້ງໃຈ. ນັ້ນແມ່ນສຸຂະອະນາໄມເຫດການທົ່ວໄປ; ແຈ້ງການຂາດລາຍການກວດສອບການແກ້ໄຂລູກຄ້າທີ່ຄົບຖ້ວນ. OpenCode ກ່າວວ່າມັນກຳລັງເຮັດວຽກຮ່ວມກັບ Anthropic, OpenAI ແລະ Google ເພື່ອແກ້ໄຂ. ມັນຍັງບໍ່ສາມາດແບ່ງປັນລາຍລະອຽດເພີ່ມເຕີມໄດ້. ພວກເຮົາຈະຕ້ອງການລາຍງານຕໍ່ມາເພື່ອຕັດສິນການແກ້ໄຂ. ແຈ້ງການນີ້ບໍ່ໄດ້ໃຫ້ຄຳໝັ້ນສັນຍາການຊົດເຊີຍທີ່ໄດ້ຮັບການຢັ້ງຢືນ.

Git hook ສາມາດກວດສອບຄວາມເຂົ້າໃຈໄດ້ບໍ?

2:08 Sphinx ສະເໜີການກວດສອບອີກປະເພດໜຶ່ງ. ມັນຢຸດການ push branch ທີ່ຖືກປ້ອງກັນໄວ້ຊົ່ວຄາວ ແລະ ຖາມວ່າເຈົ້າເຂົ້າໃຈລະຫັດຂອງຕົວແທນຂອງເຈົ້າຫຼືບໍ່. pull request ໄດ້ຮັບການສອບເສັງປາກເປົ່າ. autocomplete ຂອງເຈົ້ານັ່ງງຽບຜິດປົກກະຕິ. ຜູ້ກວດສອບແຍກຕ່າງຫາກອ່ານການປ່ຽນແປງທີ່ຖືກຜູກມັດຜ່ານເຄື່ອງມື Git ອ່ານເທົ່ານັ້ນ, ໂດຍບໍ່ເຫັນການສົນທະນາທີ່ສ້າງຂຶ້ນ. ມັນຖາມກ່ຽວກັບພຶດຕິກຳ ແລະ ກໍລະນີຄວາມຜິດພາດ. ຕອບບໍ່ຖືກຕ້ອງ ແລະ ເຈົ້າຈະໄດ້ຮັບສະຖານະການອື່ນ.

2:30 ຜ່ານ, ແລະ push ເດີມຈະສືບຕໍ່. readme ຖາມວ່າເກີດຫຍັງຂຶ້ນເມື່ອພະນັກງານ commits, ຈາກນັ້ນລົ້ມເຫຼວກ່ອນ ຍອມຮັບວຽກຂອງມັນ. ການສົ່ງຄືນສາມາດເຮັດຊ້ຳການປະຕິບັດງານໄດ້. ຕົວຢ່າງແມ່ນເປັນການສ່ອງແສງ; ພວກເຮົາບໍ່ໄດ້ຕິດຕັ້ງ Sphinx ຫຼືວັດແທກການ ປັບປຸງໃນການກວດສອບການຜະລິດ. Sphinx yolo ປິດການກວດສອບ ແລະບັນທຶກການຂ້າມຜ່ານ. hooks ໃນທ້ອງຖິ່ນສາມາດຖືກຂ້າມຜ່ານໄດ້, ແລະ readme ກ່າວວ່າຜູ້ກວດສອບສາມາດຜິດພາດໄດ້.

2:51 ຜູ້ຊ່ວຍສອນຫຸ່ນຍົນໄດ້ຮັບອະນຸຍາດໃຫ້ຍອມຮັບວ່າມັນເປັນຫຸ່ນຍົນ. ການຕັ້ງຄ່າປ່ຽນເສັ້ນທາງ Git hook ທົ່ວໂລກຂອງເຈົ້າ, ລວມທັງ repositories ອື່ນໆ.

ຜູ້ກວດສອບ Sphinx ໄດ້ຮັບຫຍັງ?

2:58 ຜູ້ກວດສອບໄດ້ຮັບລະຫັດທີ່ປ່ຽນແປງ ແລະ ຄຳຕອບຂອງເຈົ້າ. ການຍົກເວັ້ນຊື່ໄຟລ໌ບໍ່ສາມາດກວດພົບຄວາມລັບທີ່ຖືກວາງໃສ່ແຫຼ່ງປົກກະຕິໄດ້. ອ່ານນັ້ນກ່ອນທີ່ຈະນຳໃຊ້ມັນ. ບໍ່ມີຂີດຈຳກັດເລີ່ມຕົ້ນໃນການໂທຫາຕົວແບບ. ການກວດສອບທົ່ວໄປໃຊ້ຫ້າຫາແປດຄຳຮ້ອງຂໍ, ບວກກັບໜຶ່ງຄຳຮ້ອງຂໍຕໍ່ຄຳຕອບ. ກຳນົດຂີດຈຳກັດການໃຊ້ຈ່າຍ. ເຈົ້າສາມາດຈ່າຍເງິນເພື່ອສິດທິພິເສດໃນການອະທິບາຍຕົນເອງສອງຄັ້ງ.

ມີຫຍັງປ່ຽນແປງເມື່ອ Pele ສະແດງ Mermaid?

3:17 Obsidian's kepano ຫາກໍ່ປ່ອຍ Pele, ເຊິ່ງປ່ຽນຂໍ້ຄວາມ Mermaid ໃຫ້ເປັນ SVG. ຕອບກັບນັກພັດທະນາທີ່ສົງໄສ, ລາວຊີ້ໃຫ້ເຫັນຫົກປີຂອງການຂຽນ Mermaid themes. ມີປະຫວັດການບຳລຸງຮັກສາຢູ່ເບື້ອງຫຼັງ thread ເປີດຕົວ. ຊຸດທີ່ບີບອັດຂອງມັນຖືກລາຍງານວ່າປະມານສອງຮ້ອຍສາມສິບກິໂລໄບຕ໌, ທຽບກັບ Mermaid's ໜຶ່ງຈຸດຫົກເມກະໄບຕ໌. ມັນຮອງຮັບປະເພດແຜນພາບ Mermaid 12.1. ການອ້າງສິດຄວາມໄວແມ່ນການວັດແທກຂອງໂຄງການ. ພວກເຮົາບໍ່ໄດ້ເຮັດການປຽບທຽບນັ້ນຄືນໃໝ່.

3:40 ຂຽນຂໍ້ຄວາມຂອງແຜນພາບ, ໄດ້ຮັບ SVG, ຈາກນັ້ນປ່ຽນສີຂອງມັນດ້ວຍ CSS ໂດຍບໍ່ຕ້ອງສະແດງມັນອີກເທື່ອໜຶ່ງ. ແຜນພາບດຽວກັນຮັກສາຕົວຕົນຂອງມັນ. ສະຖາປັດຕະຍະກຳຂອງເຈົ້າສາມາດຢຸດການແຕ່ງຕົວຄືເວັບໄຊທ໌ທີ່ບໍ່ກ່ຽວຂ້ອງໄດ້. Pele escapes ຂໍ້ຄວາມແຜນພາບ ແລະ filter ລິ້ງ.

ຂອບເຂດແຜນພາບໃດທີ່ຍັງຄົງເປັນຂອງທ່ານ?

3:54 ການໂທກັບຄືນການຄລິກ JavaScript ຖືກລະເລີຍ. ຮູບພາບຍັງສາມາດເຮັດຄຳຮ້ອງຂໍເຄືອຂ່າຍໄດ້ເມື່ອຖືກສະແດງ. ແອັບພລິເຄຊັນຂອງເຈົ້າເປັນເຈົ້າຂອງການໝາຍຮູບສັນຍາລັກທີ່ມັນສະໜອງໃຫ້ ແລະ ວິທີທີ່ມັນເປີດ ລິ້ງພາຍໃນ. Pele ໃຫ້ເຈົ້າປິດການໃຊ້ງານລິ້ງ ແລະ ຮູບພາບ, ດ້ວຍຂີດຈຳກັດກ່ຽວກັບຂະໜາດແຫຼ່ງ ແລະ ຜົນຜະລິດ. ແອັບພລິເຄຊັນຍັງມີວຽກຕ້ອງເຮັດ. ຂ່າວທີ່ໜ້າອຶດອັດສຳລັບໃຜກໍຕາມທີ່ຫວັງວ່າການເພິ່ງພາອາໄສທີ່ນ້ອຍລົງກໍເຮັດໃຫ້ຄວາມຮັບຜິດຊອບນ້ອຍລົງເຊັ່ນກັນ. ຕອນນີ້ປ້າຍຊື່ນັ້ນ.

ການກັ່ນຕອງອະທິບາຍຫຍັງຕົວຈິງ?

4:15 ການກັ່ນຕອງໝາຍເຖິງການຝຶກອົບຮົມຕົວແບບໂດຍໃຊ້ຜົນຜະລິດຂອງຕົວແບບອື່ນ. OpenCode ເຊື່ອມໂຍງການລະເມີດກັບການໂຈມຕີການກັ່ນຕອງຂະໜາດໃຫຍ່. ນັ້ນແມ່ນຈຸດປະສົງທີ່ຖືກກ່າວຫາ. ມັນບໍ່ໄດ້ເປີດເຜີຍເສັ້ນທາງການເຂົ້າເຖິງ, ຕົວຕົນຂອງຜູ້ໂຈມຕີ ແລະ ຜົນກະທົບຕໍ່ລູກຄ້າເຕັມທີ່. ຄຳຕັດສິນຂອງຂ້ອຍຄື NEEDS REVIEW. ຂ້ອຍຈະເກັບເຫດການ Console ໄວ້ພາຍໃຕ້ການກວດສອບຈົນກວ່າພວກເຮົາຈະສາມາດປະເມີນ ຂໍ້ມູນປະຈຳຕົວທີ່ຖືກຜົນກະທົບ ແລະ ການແກ້ໄຂ. ກຳນົດວ່າບໍລິການໃດຖືການເຂົ້າເຖິງຜູ້ໃຫ້ບໍລິການຂອງເຈົ້າ,

4:39 ກ່ອນທີ່ຫົວຂໍ້ຂ່າວຈະເລືອກຕົວແບບໄພຂົ່ມຂູ່ໃຫ້ເຈົ້າ. ຖ້າເຈົ້າຢາກອ່ານອັນນີ້ຫຼາຍກວ່າໄດ້ຍິນຂ້ອຍເວົ້າ, diff ຈະຖືກສົ່ງໄປທີ່ inbox ຂອງເຈົ້າ ທຸກເຊົ້າ, ຟຣີທີ່ the daily diff dot dev, ລິ້ງຢູ່ລຸ່ມນີ້. ແລະນັ້ນຄື diff ສໍາລັບມື້ນີ້. ຂ້ອຍຄື Niko ຈາກ Axrisi. Merge ຢ່າງມີຄວາມຮັບຜິດຊອບ.

ແຫຼ່ງຂໍ້ມູນ

1. Latest edited OpenCode Console security noticeOpenCode
2. Connected provider credentials and Console gatewayOpenCode documentation
3. Console is an optional providerOpenCode documentation
4. Distillation definition and separate background casesAnthropic
5. Sphinx understanding checks and adoption caveatsSphinx project
6. Pele Mermaid-to-SVG rendererPele project
7. Pele security and application responsibilitiesPele documentation
8. Pele maintainer's public explanationkepano