OpenCode Console proboj: pogođeni opseg, akreditivi provajdera i praktične provere

Šta ovaj video pokriva

• Broj od 1,4% se odnosi na korisnike Console-a; samo instaliranje lokalnog agenta za kodiranje ne uspostavlja uključivanje u prijavljeni pogođeni podskup.
• Dokumentacija Console-a za provajdere kaže da čuva povezane akreditive iza svog gateway-a. Ovo je dokumentovana arhitektura, a ne rekonstrukcija neotkrivene putanje proboja.
• Pregledajte zvanično obaveštenje i aktivnosti provajdera; čuvanje dokaza i opozivanje sumnjivih akreditiva su opšti saveti za higijenu incidenta, a ne najavljena kompletna lista provere za popravku.
• Sphinx šalje izmenjen kod i odgovore zasebnom recenzentu, menja globalnu putanju Git kuke i nema podrazumevanu gornju granicu poziva modela. Njegov ispitivač može pogrešiti i lokalne provere se mogu zaobići.
• Pele podržava CSS promene na istom SVG-u. Njegovo poređenje brzine je prijavljeno od strane prodavca; slike i dalje mogu izdavati mrežne zahteve, a obeležavanje ikona koje isporučuje pozivalac ostaje odgovornost aplikacije.
• Destilacija opisuje navodnu svrhu koja uključuje izlaze modela; putanja pristupa incidenta, identitet napadača i potpuni uticaj na korisnike ostaju neotkriveni.

Preveden transkript

Prevedeno sa originalne engleske naracije. Dostupan audio i titlovi kontrolisani su od strane YouTube-a.

Ko je zapravo bio pogođen?

0:00 Čuli ste da je OpenCode hakovan i zamišljate svoj laptop. Njegovo obaveštenje imenuje podskup korisnika Console-a. Naša ranija presuda NEEDS REVIEW zaslužuje celu priču. U ovom videu, ko je bio pogođen? Šta treba da proverite? Zašto je jedna oznaka važna? Nedelja je, osamnaesti oktobar, i ovo je The Daily Diff. Imajte tu oznaku na umu.

0:18 OpenCode je open source agent za kodiranje za vaš terminal, editor ili desktop. Console je njegov opcioni hostovani gateway modela. Takođe opslužuje naloge provajdera koje povežete. Obaveštenje imenuje taj hostovani deo. Jutarnje obaveštenje vodi današnji diff. Zatim Git kuka vas ispituje o kodu vašeg agenta, a renderer dijagrama objašnjava

0:35 njegove sigurnosne granice. Očigledno je nova funkcija produktivnosti čitanje. OpenCode kaže da je jedan zarez četiri procenta korisnika Console-a pogođeno,

Šta zapravo opisuje 1,4%?

0:42 podskup sa povezanim eksternim provajderima. Kaže da su im poslati mejlovi. To je trenutni opseg kompanije, sa incidentom koji je i dalje u toku. Držite imenilac priložen. Korisnici Console-a su ta populacija. Njena veličina je neotkrivena, tako da ne možemo izračunati broj žrtava. Sama instalacija lokalnog agenta vas ne stavlja u prijavljenu grupu. Programer po imenu Timo kaže da je proboj važniji za korisnike nego za

1:03 oznaku destilacije. Razumna briga. Ljudi žele odgovore o svojim nalozima dok se internet raspravlja o obuci modela. Dokumentacija provajdera objašnjava granicu poverenja.

Gde se nalaze akreditivi provajdera?

1:12 Console skladišti akreditiv i usmerava zahteve kroz svoj gateway. Članovi radnog prostora koriste modele bez uvida u ključ provajdera. Korisna administracija stavlja gateway u poziciju kojoj morate verovati. Možete deliti pristup bez stavljanja uzvodnog ključa na mašinu svakog saigrača. Mali procenat i dalje može opisati ozbiljnu izloženost. Obaveštenje nije dalo tehnički opis kako je pristup ostvaren. Sigurnosni marketing voli utešnu reč. Programeri prate koja komponenta drži koju tajnu.

1:37 Console zaslužuje još jedan kvadratić u vašem mentalnom dijagramu, što je način na koji svaki arhitektonski crtež postaje duži. Proverite zvanično obaveštenje i zapise o aktivnosti provajdera.

Šta pogođeni korisnik treba da proveri?

1:45 Za sumnjivu upotrebu, sačuvajte dokaze i opozovite izloženi akreditiv putem vašeg provajdera. Zamenićete pogođene integracije namerno. To je opšta higijena incidenta; obaveštenju nedostaje kompletna lista provere za sanaciju korisnika. OpenCode kaže da radi sa Anthropic-om, OpenAI-jem i Google-om na sanaciji. Još uvek ne može da podeli više detalja. Biće nam potreban kasniji izveštaj da bismo procenili popravku. Ovo obaveštenje ne daje provereno obećanje o nadoknadi.

Može li Git kuka proveriti razumevanje?

2:08 Sphinx nudi drugačiju vrstu nadzora. Pauza zaštićenog granskog push-a i pita vas da li razumete kod svog agenta. Pull zahtev je stekao usmeni ispit. Vaš automatski dovršivač sedi sumnjivo tiho. Zaseban recenzent čita poslatu promenu putem samo-čitajućih Git alata, bez uvida u generisani chat. Pita o ponašanju i slučajevima kvara. Odgovorite pogrešno i dobijate još jedan scenario.

2:30 Prođite, i originalni push se nastavlja. Readme pita šta se dešava kada radnik commituje, a zatim se sruši pre potvrđivanja svog posla. Ponovna isporuka može ponoviti operaciju. Primer je ilustrativan; nismo instalirali Sphinx niti izmerili poboljšanje u pregledu produkcije. Sphinx yolo onemogućava provere i beleži preskakanje. Lokalne kuke se mogu zaobići, a readme kaže da ispitivač može pogrešiti.

2:51 Robot asistent za podučavanje ima dozvolu da prizna da je robot. Podešavanje menja vašu globalnu Git hook putanju, uključujući druge repozitorijume.

Šta prima Sphinx recenzent?

2:58 Recenzent prima izmenjen kod i vaše odgovore. Izuzimanja naziva datoteka ne mogu uhvatiti tajnu zalepljenu u običan izvorni kod. Pročitajte to pre nego što ga usvojite. Nema podrazumevanog ograničenja poziva modela. Tipična provera koristi pet do osam zahteva, plus jedan po odgovoru. Postavite limite potrošnje. Možete platiti privilegiju da se dvaput objašnjavate.

Šta se menja kada Pele renderuje Mermaid?

3:17 Kepano iz Obsidian-a je upravo objavio Pele, koji pretvara Mermaid tekst u SVG. Odgovarajući skeptičnom programeru, on ukazuje na šest godina pisanja Mermaid tema. Postoji istorija održavanja iza pokretačke niti. Njegov kompresovani paket se prijavljuje oko dvesta trideset kilobajta, u odnosu na Mermaidovih jedan zarez šest megabajta. Podržava tipove dijagrama Mermaid dvanaest zarez jedan. Tvrdnje o brzini su merenja projekta. Nismo reprodukovali to poređenje.

3:40 Napišite tekst dijagrama, dobijte SVG, a zatim promenite njegove boje pomoću CSS-a bez ponovnog renderovanja. Isti dijagram zadržava svoj identitet. Vaša arhitektura može prestati da se oblači kao nepovezana veb lokacija. Pele izbegava tekst dijagrama i filtrira linkove.

Koje granice dijagrama ostaju vaše?

3:54 JavaScript povratni pozivi za klikove se ignorišu. Slike i dalje mogu slati mrežne zahteve kada se prikazuju. Vaša aplikacija poseduje obeležavanje ikona koje isporučuje i način na koji otvara interne linkove. Pele vam omogućava da onemogućite linkove i slike, sa ograničenjima na izvor i veličinu izlaza. Aplikacija još uvek ima posla. Nezgodne vesti za svakoga ko se nada da manja zavisnost takođe smanjuje odgovornost. Sada ta oznaka.

Šta destilacija zapravo objašnjava?

4:15 Destilacija znači obučavanje modela korišćenjem izlaza drugog modela. OpenCode povezuje proboj sa velikim napadom destilacije. To je navodna svrha. Ostavlja putanju pristupa, identitet napadača i potpuni uticaj na korisnike neotkrivenim. Moja presuda je NEEDS REVIEW. Držao bih incident sa Console-om pod revizijom dok ne budemo mogli da procenimo pogođene akreditive i popravku. Identifikujte koja usluga drži vaš pristup provajderu,

4:39 pre nego što vam naslov odabere model pretnje. Ako biste radije ovo pročitali nego čuli kako ga ja izgovaram, diff stiže u vaše sanduče svakog jutra, besplatno na the daily diff dot dev, link ispod. I to je diff za danas. Ja sam Niko iz Axrisi. Spojite odgovorno.

Izvori

1. Latest edited OpenCode Console security noticeOpenCode
2. Connected provider credentials and Console gatewayOpenCode documentation
3. Console is an optional providerOpenCode documentation
4. Distillation definition and separate background casesAnthropic
5. Sphinx understanding checks and adoption caveatsSphinx project
6. Pele Mermaid-to-SVG rendererPele project
7. Pele security and application responsibilitiesPele documentation
8. Pele maintainer's public explanationkepano