Kršitev konzole OpenCode: prizadeti obseg, poverilnice ponudnikov in praktični pregledi

Kaj zajema ta videoposnetek

• Številka 1,4 % se nanaša na uporabnike konzole; namestitev samo lokalnega kodnega agenta ne pomeni vključenosti v poročano prizadeto podskupino.
• Dokumentacija ponudnika konzole navaja, da shranjuje povezane poverilnice za svojim prehodom. To je dokumentirana arhitektura, ne rekonstrukcija nerazkrite poti kršitve.
• Pregled uradnega obvestila in dejavnosti ponudnika; ohranjanje dokazov in preklic sumljivih poverilnic so splošni nasveti za higieno incidentov, ne pa objavljen celoten kontrolni seznam popravil.
• Sphinx pošlje spremenjeno kodo in odgovore ločenemu pregledovalcu, spremeni globalno pot Git kavlja in nima privzete omejitve klicev modela. Njegov preverjevalec se lahko moti in lokalne preglede je mogoče obiti.
• Pele podpira spremembe CSS istega SVG. Njegova primerjava hitrosti je poročana od prodajalca; slike lahko še vedno pošiljajo omrežne zahteve, klicatelj pa je odgovoren za zagotavljanje oznake ikon.
• Destilacija opisuje domnevni namen, ki vključuje izhode modelov; pot dostopa do incidenta, identiteta napadalca in celoten vpliv na stranke ostajajo nerazkriti.

Preveden prepis

Prevedeno iz izvirnega angleškega pripovedovanja. Razpoložljivi zvok in podnapisi so nadzorovani s strani YouTuba.

Kdo je bil dejansko prizadet?

0:00 Slišite, da so OpenCode vdrli, in si predstavljate svoj prenosnik. Njihovo obvestilo imenuje podskupino uporabnikov konzole. Naša prejšnja ocena 'potrebuje pregled' si zasluži celotno zgodbo. V tem videu, kdo je bil prizadet? Kaj bi morali preveriti? Zakaj je ena oznaka pomembna? Je nedelja, osemnajsti oktober, in to je The Daily Diff. Zapomnite si to oznako.

0:18 OpenCode je odprtokodni kodirni agent za vaš terminal, urejevalnik ali namizje. Konzola je njegov neobvezni gostovani prehod modela. Prav tako služi povezanim računom ponudnikov. Obvestilo imenuje ta gostovani del. Jutranje obvestilo vodi današnji diff. Nato vas Git kavelj sprašuje o kodi vašega agenta, upodabljalnik diagramov pa določa

0:35 njegove varnostne meje. Očitno je nova funkcija produktivnosti branje. OpenCode pravi, da je bilo prizadetih 1,4 odstotka uporabnikov konzole,

Kaj dejansko opisuje 1,4 %?

0:42 podskupina s povezanimi zunanjimi ponudniki. Pravijo, da so jim poslali e-pošto. To je trenutni obseg podjetja, incident pa še vedno poteka. Ohranite imenovalec pritrjen. Uporabniki konzole so ta populacija. Njihova velikost ni razkrita, zato ne moremo izračunati števila žrtev. Namestitev samo lokalnega agenta vas ne uvršča v poročano skupino. Razvijalec po imenu Timo pravi, da je kršitev pomembnejša za stranke kot

1:03 oznaka destilacije. Upravičena skrb. Ljudje želijo odgovore o svojih računih, medtem ko internet razpravlja o usposabljanju modelov. Dokumentacija ponudnika pojasnjuje mejo zaupanja.

Kje se nahaja poverilnica ponudnika?

1:12 Konzola shrani poverilnico in usmerja zahteve prek svojega prehoda. Člani delovnega prostora uporabljajo modele, ne da bi videli ključ ponudnika. Uporabna administracija postavlja prehod v položaj, ki mu morate zaupati. Dostop lahko delite, ne da bi zgornji ključ postavili na vsakega člana ekipe. računalnik. Majhen odstotek lahko še vedno opisuje resno izpostavljenost. Obvestilo ni posredovalo tehničnega poročila o tem, kako je bil dostop pridobljen. Varnostni marketing ima rad tolažilno besedo. Razvijalci spremljajo, katera komponenta hrani katero skrivnost.

1:37 Konzola si zasluži še eno polje v vašem miselnem diagramu, tako se vsaka arhitekturna risba podaljša. Preverite uradno obvestilo in zapise o dejavnosti ponudnika.

Kaj naj preveri prizadeti uporabnik?

1:45 Za sumljivo uporabo ohranite dokaze in prekličite izpostavljeno poverilnico prek vašega ponudnika. Prizadete integracije zamenjajte namensko. To je splošna higiena incidentov; obvestilo nima popolnega seznama za odpravo težav strank. OpenCode pravi, da sodeluje z Anthropic, OpenAI in Google pri odpravljanju težav. Več podrobnosti še ne morejo deliti. Kasnejše poročilo bomo potrebovali za presojo popravka. To obvestilo ne obljublja preverjenega povračila.

Ali lahko Git kavelj preveri razumevanje?

2:08 Sphinx ponuja drugačno vrsto nadzora. Ustavi zaščiten potisk veje in vpraša, ali razumete kodo vašega agenta. Zahteva za vlečenje je pridobila ustni izpit. Vaše samodejno dokončanje sedi sumljivo tiho. Ločen pregledovalec prebere zavezano spremembo prek orodij Git samo za branje, ne da bi videl generirani klepet. Vpraša o vedenju in primerih napak. Če odgovorite napačno, dobite nov scenarij.

2:30 Če opravite, se prvotni potisk nadaljuje. Datoteka readme sprašuje, kaj se zgodi, ko delavec potrdi, nato pa se sesuje, preden potrdi svoje delo. Ponovna dostava lahko ponovi operacijo. Primer je ilustrativen; Sphinx nismo namestili niti izmerili izboljšanja pri pregledu proizvodnje. Sphinx yolo onemogoči preglede in zabeleži preskok. Lokalne kljuke je mogoče obiti, in readme pravi, da se preizkuševalec lahko zmoti.

2:51 Robot asistent ima dovoljenje, da prizna, da je robot. Nastavitev spremeni vašo globalno pot Git kljuke, vključno z drugimi repozitoriji.

Kaj prejme pregledovalec Sphinx?

2:58 Pregledovalec prejme spremenjeno kodo in vaše odgovore. Izjeme imena datoteke ne morejo ujeti skrivnosti, prilepljene v običajno izvorno kodo. Preberite to, preden jo sprejmete. Ni privzete omejitve klicev modela. Tipičen pregled uporablja pet do osem zahtev, plus eno na odgovor. Nastavite omejitve porabe. Lahko plačate za privilegij, da se dvakrat pojasnite.

Kaj se spremeni, ko Pele upodablja Mermaid?

3:17 Kepano iz Obsidiana je pravkar izdal Pele, ki besedilo Mermaid pretvori v SVG. V odgovoru skeptičnemu razvijalcu poudarja šest let pisanja tem Mermaid. Za niti za zagonom stoji zgodovina vzdrževanja. Njegov stisnjen paket je poročan okoli dvesto trideset kilobajtov, v primerjavi z Mermaidovimi 1,6 megabajti. Podpira vrste diagramov Mermaid 12.1. Trditve o hitrosti so meritve projekta. Te primerjave nismo reproducirali.

3:40 Napišite besedilo diagrama, dobite SVG, nato pa spremenite njegove barve z CSS ne da bi ga ponovno upodobili. Isti diagram ohrani svojo identiteto. Vaša arhitektura se lahko preneha oblačiti kot nepovezano spletno mesto. Pele pobegne besedilo diagrama in filtrira povezave.

Katere meje diagrama ostajajo vaše?

3:54 Kliki JavaScript povratne klice so ignorirani. Slike lahko še vedno pošiljajo omrežne zahteve, ko so prikazane. Vaša aplikacija je lastnik oznake ikon, ki jo dobavlja, in kako odpira notranje povezave. Pele vam omogoča onemogočanje povezav in slik, z omejitvami na vir in velikost izhoda. Aplikacija ima še vedno delo. Neugodna novica za vsakogar, ki upa, da manjša odvisnost zmanjša tudi odgovornost. Zdaj pa ta oznaka.

Kaj destilacija dejansko pojasnjuje?

4:15 Destilacija pomeni usposabljanje modela z uporabo izhodov drugega modela. OpenCode povezuje kršitev z obsežnim napadom destilacije. To je domnevni namen. Poti dostopa, identitete napadalca in celotnega vpliva na stranke ne razkriva. Moja sodba je, da je potreben pregled. Incident v konzoli bi obdržal pod pregledom, dokler ne bomo mogli oceniti prizadetih poverilnic in popravka. Ugotovite, katera storitev hrani vaš dostop ponudnika,

4:39 preden vam naslov izbere model grožnje. Če bi raje to prebrali, kot pa slišali, kako to rečem, vam diff pristane v nabiralniku vsako jutro, brezplačno na thedailyiff.dev, povezava spodaj. In to je diff za danes. Sem Niko iz Axrisija. Spojite odgovorno.

Viri

1. Latest edited OpenCode Console security noticeOpenCode
2. Connected provider credentials and Console gatewayOpenCode documentation
3. Console is an optional providerOpenCode documentation
4. Distillation definition and separate background casesAnthropic
5. Sphinx understanding checks and adoption caveatsSphinx project
6. Pele Mermaid-to-SVG rendererPele project
7. Pele security and application responsibilitiesPele documentation
8. Pele maintainer's public explanationkepano