Прекршување на OpenCode Console: опсег на влијание, ингеренции на провајдерот и практични проверки

Што покрива ова видео

• Бројката од 1,4% се однесува на корисниците на Console; само инсталирањето на локалниот кодирачки агент не воспоставува вклучување во пријавената засегната подгрупа.
• Документацијата за провајдери на Console вели дека ги чува поврзаните ингеренции зад нејзиниот портал. Ова е документирана архитектура, а не реконструкција на необјавениот пат на прекршување.
• Прегледајте го официјалното известување и активноста на провајдерот; зачувувањето на докази и отповикувањето на сомнителни ингеренции се општи совети за хигиена при инциденти, а не најавена целосна листа за проверка на поправки.
• Sphinx испраќа изменет код и одговори до посебен прегледувач, менува глобален Git hook пат и нема стандардна граница за повици на модели. Неговиот испитувач може да биде погрешен и локалните проверки може да се заобиколат.
• Pele поддржува промени на CSS на истиот SVG. Неговата споредба на брзината е пријавена од продавачот; сликите сè уште можат да испраќаат мрежни барања, а ознаките на иконите доставени од повикувачот остануваат одговорност на апликацијата.
• Дистилацијата опишува наводна цел што вклучува излези на модели; патот за пристап до инцидентот, идентитетот на напаѓачот и целосното влијание врз клиентите остануваат необјавени.

Преведен транскрипт

Преведено од оригиналната англиска нарација. Достапното аудио и наслови се контролирани од YouTube.

Кој всушност беше засегнат?

0:00 Слушате дека OpenCode бил хакиран и ја замислувате вашата лаптоп. Неговото известување именува подгрупа корисници на Console. Нашата претходна пресуда „потребен преглед“ заслужува целосна приказна. Во ова видео, кој беше засегнат? Што треба да проверите? Зошто е важна една етикета? Недела е, осумнаесетти октомври, и ова е The Daily Diff. Запомнете ја таа етикета.

0:18 OpenCode е агент за кодирање со отворен код за вашиот терминал, уредник или десктоп. Console е неговиот изборен хостиран модел портал. Исто така, опслужува провајдерски сметки што ги поврзувате. Известувањето го именува тој хостиран дел. Ноќното известување го води денешниот дифф. Потоа Git hook ве испрашува за кодот на вашиот агент, а рендерер на дијаграми ги објаснува

0:35 неговите безбедносни граници. Очигледно, новата функција за продуктивност е читање. OpenCode вели дека 1,4 проценти од корисниците на Console биле погодени,

Што всушност опишува 1,4%?

0:42 подгрупа со поврзани надворешни провајдери. Вели дека им било испратено електронска пошта. Тоа е тековниот опсег на компанијата, со инцидентот сè уште во тек. Задржете го именителот прикачен. Корисниците на Console се таа популација. Неговата големина е необјавена, така што не можеме да пресметаме број на жртви. Инсталирањето на локалниот агент само по себе не ве става во пријавената група. Развивач по име тимо вели дека прекршувањето е поважно за клиентите отколку

1:03 етикетата за дистилација. Фер загриженост. Луѓето сакаат одговори за нивните сметки додека интернетот се расправа за тренирање на модели. Документацијата за провајдери ја објаснува границата на доверба.

Каде живеат ингеренциите на провајдерот?

1:12 Console ги чува ингеренциите и ги насочува барањата преку својот портал. Членовите на работниот простор користат модели без да го видат клучот на провајдерот. Корисната администрација го става порталот во позиција на која мора да ѝ верувате. Можете да споделите пристап без да го ставите клучот на горниот тек на машината на секој соиграч. Мал процент сè уште може да опише сериозна изложеност. Известувањето не даде технички опис за тоа како е добиен пристапот. Безбедносниот маркетинг сака утешен збор. Развивачите следат која компонента која тајна ја чува.

1:37 Console заслужува уште една кутија во вашата ментална дијаграма, што е начинот на кој секој архитектонски цртеж станува подолг. Проверете ги официјалните известувања и записите за активностите на провајдерот.

Што треба да провери засегнатиот корисник?

1:45 За сомнителна употреба, зачувајте докази и отповикајте ги изложените ингеренции преку вашиот провајдер. Намерно заменете ги засегнатите интеграции. Тоа е општа хигиена при инциденти; известувањето нема целосна листа за проверка на санацијата за клиенти. OpenCode вели дека работи со Anthropic, OpenAI и Google за санирање. Сè уште не може да сподели повеќе детали. Ќе ни треба подоцнежниот извештај за да ја процениме поправката. Ова известување не дава никакво потврдено ветување за надомест.

Може ли Git hook да провери разбирање?

2:08 Sphinx нуди поинаков вид надзор. Го паузира притискањето на заштитена гранка и прашува дали го разбирате кодот на вашиот агент. Барањето за влечење доби устен испит. Вашето автоматско дополнување седи сомнително тивко. Посебен прегледувач ја чита изменетата промена преку алатки за Git само за читање, без да го гледа разговорот за генерирање. Прашува за однесување и случаи на неуспех. Одговорете неточно и ќе добиете друго сценарио.

2:30 Поминете, и првичното притискање продолжува. Readme прашува што се случува кога работник се обврзува, а потоа се урива пред да го признае неговата задача. Повторната испорака може да ја повтори операцијата. Примерот е илустративен; не сме го инсталирале Sphinx ниту сме измериле подобрување во производствениот преглед. Sphinx yolo ги оневозможува проверките и го евидентира прескокнувањето. Локалните куки може да се заобиколат, а readme вели дека испитувачот може да биде погрешен.

2:51 На роботот-асистент за учење му е дозволено да признае дека е робот. Поставувањето го менува вашиот глобален Git hook пат, вклучувајќи и други репозиториуми.

Што добива прегледувачот на Sphinx?

2:58 Прегледувачот добива изменет код и вашите одговори. Исклучувањата на имиња на датотеки не можат да фатат тајна залепена во обичен извор. Прочитајте го тоа пред да го усвоите. Нема стандардна граница за повици на модели. Типична проверка користи пет до осум барања, плус едно по одговор. Поставете ограничувања на трошоците. Можете да платите за привилегијата да се објаснувате двапати.

Што се менува кога Pele го рендерира Mermaid?

3:17 Kepano од Obsidian штотуку го објави Pele, кој го претвора Mermaid текстот во SVG. Одговарајќи на скептичен развивач, тој укажува на шест години пишување Mermaid теми. Зад темата за лансирање стои историја на одржување. Неговиот компресиран пакет е пријавен околу двесте триесет килобајти, наспроти 1,6 мегабајти на Mermaid. Поддржува типови дијаграми на Mermaid 12.1. Тврдењата за брзина се мерења на проектот. Не ја репродуциравме таа споредба.

3:40 Напишете го текстот на дијаграмот, добијте SVG, потоа сменете ги неговите бои со CSS без повторно да го рендерирате. Истиот дијаграм го задржува својот идентитет. Вашата архитектура може да престане да се облекува како несродна веб-страница. Pele го ескапира текстот на дијаграмот и ги филтрира линковите.

Кои граници на дијаграмот остануваат ваши?

3:54 Повратните повици за кликнување на JavaScript се игнорираат. Сликите сè уште можат да прават мрежни барања кога се прикажани. Вашата апликација ја поседува ознаката на иконата што ја испорачува и како ги отвора внатрешните линкови. Pele ви овозможува да оневозможите линкови и слики, со ограничувања на изворната и излезната големина. Апликацијата сè уште има работа да заврши. Незгодни вести за секој што се надева дека помалата зависност исто така ја намалува одговорноста. Сега таа етикета.

Што всушност објаснува дистилацијата?

4:15 Дистилација значи тренирање на модел користејќи ги излезите на друг модел. OpenCode го поврзува прекршувањето со голем дистилационен напад. Тоа е наводната цел. Ги остава патот за пристап, идентитетот на напаѓачот и целосните последици за клиентите необјавени. Мојата пресуда е „потребен преглед“. Ќе го задржам инцидентот со Console под преглед додека не можеме да ги процениме засегнатите акредитиви и поправката. Идентификувајте која услуга го држи вашиот пристап до провајдерот,

4:39 пред наслов да го избере моделот на закана за вас. Ако сакате да го прочитате ова наместо да ме слушате, диффот пристигнува во вашето сандаче секое утро, бесплатно на thedailydiff.dev, линк подолу. И тоа е диффот за денес. Јас сум Нико од Axrisi. Спојувајте одговорно.

Извори

1. Latest edited OpenCode Console security noticeOpenCode
2. Connected provider credentials and Console gatewayOpenCode documentation
3. Console is an optional providerOpenCode documentation
4. Distillation definition and separate background casesAnthropic
5. Sphinx understanding checks and adoption caveatsSphinx project
6. Pele Mermaid-to-SVG rendererPele project
7. Pele security and application responsibilitiesPele documentation
8. Pele maintainer's public explanationkepano