Încălcarea Consolei OpenCode: scopul afectat, acreditările furnizorului și verificări practice

Ce acoperă acest videoclip

• Cifra de 1,4% se aplică utilizatorilor Consolei; instalarea singură a agentului de codare local nu stabilește includerea în subsetul afectat raportat.
• Documentația furnizorului Consolei spune că stochează acreditările conectate în spatele gateway-ului său. Aceasta este o arhitectură documentată, nu o reconstrucție a căii de încălcare nedivulgate.
• Examinați notificarea oficială și activitatea furnizorului; păstrarea dovezilor și revocarea acreditărilor suspecte sunt sfaturi generale de igienă a incidentelor, nu o listă de verificare completă a reparațiilor anunțate.
• Sphinx trimite codul modificat și răspunsurile unui recenzor separat, modifică o cale globală de hook Git și nu are o limită implicită de apeluri de model. Examinatorul său poate greși și verificările locale pot fi ocolite.
• Pele acceptă modificări CSS la același SVG. Comparația sa de viteză este raportată de furnizor; imaginile pot încă emite cereri de rețea, iar marcajul de pictogramă furnizat de apelant rămâne o responsabilitate a aplicației.
• Distilarea descrie un presupus scop care implică ieșiri de model; calea de acces a incidentului, identitatea atacatorului și impactul complet asupra clienților rămân nedivulgate.

Transcrierea tradusă

Tradus din narațiunea originală în engleză. Audio-ul și subtitrările disponibile sunt controlate de YouTube.

Cine a fost de fapt afectat?

0:00 Auzi că OpenCode a fost piratat și îți imaginezi laptopul tău. Notificarea sa numește un subset de utilizatori ai Consolei. Verdictul nostru anterior NEEDS REVIEW merită povestea completă. În acest videoclip, cine a fost afectat? Ce ar trebui să verifici? De ce contează o etichetă? Este duminică, optsprezece octombrie, și acesta este The Daily Diff. Păstrați acea etichetă în minte.

0:18 OpenCode este un agent de codare open source pentru terminalul tău, editor sau desktop. Consola este gateway-ul său opțional de model găzduit. De asemenea, servește conturile de furnizori pe care le conectezi. Notificarea numește acea piesă găzduită. Notificarea de peste noapte conduce diferența de astăzi. Apoi un hook Git te interoghează despre codul agentului tău, iar un redactor de diagrame expune

0:35 limitele sale de siguranță. Aparent noua funcție de productivitate este cititul. OpenCode spune că 1,4% dintre utilizatorii Consolei au fost afectați,

Ce descrie de fapt 1,4%?

0:42 un subset cu furnizori externi conectați. Spune că le-au fost trimise e-mailuri. Acesta este scopul actual al companiei, incidentul fiind încă în desfășurare. Păstrați numitorul atașat. Utilizatorii Consolei sunt acea populație. Dimensiunea sa este nedivulgată, deci nu putem calcula un număr de victime. Instalarea agentului local singur nu te include în grupul raportat. Un dezvoltator numit timo spune că breșa contează mai mult pentru clienți decât eticheta

1:03 de distilare. Îngrijorare justă. Oamenii vor răspunsuri despre conturile lor în timp ce internetul se ceartă despre antrenamentul modelului. Documentația furnizorului explică granița de încredere.

Unde se află acreditarea furnizorului?

1:12 Consola stochează acreditarea și rutează cererile prin gateway-ul său. Membrii spațiului de lucru folosesc modele fără a vedea cheia furnizorului. Administrarea utilă plasează gateway-ul într-o poziție în care trebuie să ai încredere. Poți partaja accesul fără a pune cheia upstream pe fiecare mașină a coechipierului. Un procent mic poate descrie totuși o expunere serioasă. Notificarea nu a furnizat o explicație tehnică a modului în care a fost obținut accesul. Marketingului de securitate îi place un cuvânt reconfortant. Dezvoltatorii urmăresc ce componentă deține ce secret.

1:37 Consola merită o altă casetă în diagrama ta mentală, ceea ce face ca fiecare desen de arhitectură să devină mai lung. Verificați notificarea oficială și înregistrările de activitate ale furnizorului.

Ce ar trebui să verifice un utilizator afectat?

1:45 Pentru utilizare suspectă, păstrați dovezile și revocați acreditările expuse prin furnizorul dvs. Înlocuiți integrările afectate în mod deliberat. Aceasta este o igienă generală a incidentelor; notificarea nu are o listă de verificare completă a remedierii pentru clienți. OpenCode spune că lucrează cu Anthropic, OpenAI și Google pentru a remedia. Nu poate oferi mai multe detalii încă. Vom avea nevoie de raportul ulterior pentru a judeca remedierea. Această notificare nu face nicio promisiune de rambursare verificată.

Poate un hook Git să verifice înțelegerea?

2:08 Sphinx oferă un alt tip de supraveghere. Pauzează o împingere pe o ramură protejată și te întreabă dacă înțelegi codul agentului tău. Cererea de extragere a dobândit un examen oral. Completarea automată stă suspect de liniștită. Un recenzor separat citește modificarea comisa prin instrumente Git doar în citire, fără a vedea chat-ul generator. Întreabă despre comportament și cazuri de eșec. Răspunzi incorect și primești un alt scenariu.

2:30 Treci, iar împingerea inițială continuă. Fișierul readme întreabă ce se întâmplă atunci când un lucrător comite, apoi se prăbușește înainte de a-și recunoaște sarcina. Re-livrarea poate repeta operațiunea. Exemplul este ilustrativ; nu am instalat Sphinx sau am măsurat o îmbunătățire în revizuirea producției. Sphinx yolo dezactivează verificările și înregistrează omisiunea. Hook-urile locale pot fi ocolite, iar fișierul readme spune că examinatorul poate greși.

2:51 Asistentul didactic robot are permisiunea să admită că este un robot. Configurarea modifică calea globală a hook-ului Git, inclusiv alte depozite.

Ce primește recenzorul Sphinx?

2:58 Recenzorul primește codul modificat și răspunsurile tale. Excluderile de nume de fișiere nu pot prinde un secret lipit în sursa obișnuită. Citiți asta înainte de a o adopta. Nu există o limită implicită pentru apelurile de model. O verificare tipică utilizează cinci până la opt cereri, plus una pe răspuns. Setați limite de cheltuieli. Puteți plăti pentru privilegiul de a vă explica de două ori.

Ce se schimbă când Pele randează Mermaid?

3:17 Kepano de la Obsidian tocmai a lansat Pele, care transformă textul Mermaid în SVG. Răspunzând unui dezvoltator sceptic, el subliniază șase ani de scriere de teme Mermaid. Există istoric de mentenanță în spatele threadului de lansare. Pachetul său comprimat este raportat la aproximativ două sute treizeci de kiloocteți, față de 1,6 megaocteți ai lui Mermaid. Suportă tipurile de diagrame ale Mermaid 12.1. Afirmațiile privind viteza sunt măsurătorile proiectului. Nu am reprodus acea comparație.

3:40 Scrieți textul diagramei, obțineți SVG, apoi schimbați-i culorile cu CSS fără a o randa din nou. Aceeași diagramă își păstrează identitatea. Arhitectura ta poate înceta să se îmbrace ca un site web neînrudit. Pele evadează textul diagramei și filtrează linkurile.

Ce limite de diagramă rămân ale tale?

3:54 Callback-urile JavaScript de clic sunt ignorate. Imaginile pot încă face cereri de rețea atunci când sunt afișate. Aplicația dvs. deține marcajul de pictogramă pe care îl furnizează și modul în care deschide linkurile interne. Pele vă permite să dezactivați linkurile și imaginile, cu limite privind dimensiunea sursei și a ieșirii. Aplicația are încă de lucru. Veste proastă pentru oricine speră că o dependență mai mică reduce și responsabilitatea. Acum, acea etichetă.

Ce explică de fapt distilarea?

4:15 Distilarea înseamnă antrenarea unui model folosind ieșirile altui model. OpenCode asociază breșa cu un atac de distilare la scară largă. Acesta este scopul pretins. Lasă nedivulgate calea de acces, identitatea atacatorului și impactul complet asupra clienților. Verdictul meu este NEEDS REVIEW. Aș păstra incidentul Consolei în revizuire până când vom putea evalua acreditările afectate și remedierea. Identificați ce serviciu deține accesul dvs. de furnizor,

4:39 înainte ca un titlu să aleagă modelul de amenințare pentru dvs. Dacă preferați să citiți asta decât să mă auzi spunând-o, diff-ul ajunge în căsuța dvs. de e-mail în fiecare dimineață, gratuit la the daily diff dot dev, link mai jos. Și asta este diff-ul pentru astăzi. Sunt Niko de la Axrisi. Îmbină responsabil.

Surse

1. Latest edited OpenCode Console security noticeOpenCode
2. Connected provider credentials and Console gatewayOpenCode documentation
3. Console is an optional providerOpenCode documentation
4. Distillation definition and separate background casesAnthropic
5. Sphinx understanding checks and adoption caveatsSphinx project
6. Pele Mermaid-to-SVG rendererPele project
7. Pele security and application responsibilitiesPele documentation
8. Pele maintainer's public explanationkepano