Повреда OpenCode конзоле: обухваћен обим, акредитиви провајдера и практичне провере

Шта овај видео покрива

• Податак од 1,4% односи се на кориснике конзоле; само инсталирање локалног агента за кодирање не успоставља укључивање у пријављени погођени подскуп.
• Документација провајдера конзоле каже да чува повезане акредитиве иза свог пролаза. Ово је документована архитектура, а не реконструкција неоткривеног пута повреде.
• Прегледајте званично обавештење и активност провајдера; чување доказа и опозивање сумњивих акредитива су општи савети за хигијену инцидената, а не најављена потпуна контролна листа поправки.
• Sphinx шаље промењени код и одговоре одвојеном рецензенту, мења глобалну путању Git куке и нема подразумевано ограничење позива модела. Његов испитивач може бити погрешан, а локалне провере се могу заобићи.
• Pele подржава ЦСС промене истог СВГ-а. Поређење брзине је пријављено од стране добављача; слике и даље могу издавати мрежне захтеве, а ознака иконе коју је добављач обезбедио остаје одговорност апликације.
• Дестилација описује наводну сврху која укључује излазе модела; пут приступа инциденту, идентитет нападача и пун утицај на клијенте остају неоткривени.

Преведени транскрипт

Преведено са оригиналне енглеске нарације. Доступни аудио и титлови контролисани су од стране YouTube-а.

Ко је заправо био погођен?

0:00 Чујете да је OpenCode хакован и замишљате свој лаптоп. Његово обавештење именује подскуп корисника конзоле. Наша ранија пресуда „потребна провера“ заслужује целу причу. У овом видеу, ко је био погођен? Шта треба да проверите? Зашто је једна ознака важна? Недеља је, осамнаести октобар, и ово је The Daily Diff. Запамтите ту ознаку.

0:18 OpenCode је опен соурс агент за кодирање за ваш терминал, едитор или десктоп. Конзола је његов опционални хостовани пролаз модела. Такође опслужује налоге провајдера које повезујете. Обавештење именује тај хостовани део. Ноћно обавештење води данашњи дифф. Затим вас Git кука испитује о коду вашег агента, а рендер дијаграма објашњава

0:35 његове безбедносне границе. Очигледно је нова функција продуктивности читање. OpenCode каже да је један зарез четири процента корисника конзоле било погођено,

Шта заправо описује 1,4%?

0:42 подскуп са повезаним спољним провајдерима. Каже да су им послати мејлови. То је тренутни обим компаније, док инцидент још траје. Држите бројилац причвршћен. Корисници конзоле су та популација. Његова величина је неоткривена, тако да не можемо израчунати број жртава. Само инсталирање локалног агента не ставља вас у пријављену групу. Програмер по имену тимо каже да је повреда важнија за клијенте него

1:03 ознака дестилације. Праведна забринутост. Људи желе одговоре о својим налозима док се интернет расправља о обуци модела. Документација провајдера објашњава границу поверења.

Где се налази акредитив провајдера?

1:12 Конзола чува акредитив и рутира захтеве кроз свој пролаз. Чланови радног простора користе моделе без да виде кључ провајдера. Корисна администрација ставља пролаз у позицију којој морате веровати. Можете делити приступ без стављања горњег кључа на сваки тимски уређај. Мали проценат и даље може да опише озбиљну изложеност. Обавештење није дало технички опис начина на који је приступ стечен. Маркетинг безбедности воли утешну реч. Програмери прате која компонента чува коју тајну.

1:37 Конзола заслужује још једну кутију у вашем менталном дијаграму, што је начин на који сваки архитектонски цртеж постаје дужи. Проверите званично обавештење и записе о активности провајдера.

Шта би погођени корисник требало да провери?

1:45 За сумњиву употребу, сачувајте доказе и опозовите изложене акредитиве преко вашег провајдера. Намерно замените погођене интеграције. То је општа хигијена инцидента; обавештење не садржи потпуну контролну листу ремедијације за клијенте. OpenCode каже да ради са Anthropic-ом, OpenAI-ом и Google-ом на ремедијацији. Још не може да подели више детаља. Биће нам потребан каснији извештај да бисмо оценили поправку. Ово обавештење не даје проверено обећање о надокнади.

Може ли Git кука проверити разумевање?

2:08 Sphinx нуди другачију врсту надзора. Паузира заштићени push гране и пита да ли разумете код свог агента. Захтев за повлачење је добио усмени испит. Ваш аутокомплит седи сумњиво тихо. Одвојени рецензент чита извршену промену кроз Гит алате само за читање, без да види генеришући чет. Пита о понашању и случајевима квара. Одговорите нетачно и добићете још један сценарио.

2:30 Положите, и оригинални push се наставља. Радник пита шта се дешава када радник изврши commit, а затим се сруши пре него што потврди свој посао. Поновна испорука може поновити операцију. Пример је илустративан; нисмо инсталирали Sphinx нити измерили побољшање у прегледу производње. Sphinx yolo онемогућава провере и бележи прескакање. Локалне куке се могу заобићи, а радник каже да испитивач може бити погрешан.

2:51 Робот асистент за учење има дозволу да призна да је робот. Подешавање мења вашу глобалну путању Git куке, укључујући друга спремишта.

Шта рецензент Sphinx-а добија?

2:58 Рецензент добија промењени код и ваше одговоре. Искључења назива датотека не могу ухватити тајну залепљену у обичан извор. Прочитајте то пре него што га усвојите. Не постоји подразумевано ограничење позива модела. Типична провера користи пет до осам захтева, плус један по одговору. Поставите ограничења потрошње. Можете платити привилегију да се два пута објасните.

Шта се мења када Pele рендерује Mermaid?

3:17 Obsidian-ов кепано је управо објавио Pele, који Mermaid текст претвара у SVG. Одговарајући скептичном програмеру, он указује на шест година писања Mermaid тема. Постоји историја одржавања иза нити покретања. Његов компримовани пакет је пријављен око двеста тридесет килобајта, насупрот Mermaid-овим један зарез шест мегабајта. Подржава Mermaid дванаест зарез један типове дијаграма. Тврдње о брзини су мерења пројекта. Нисмо репродуковали то поређење.

3:40 Напишите текст дијаграма, добијте SVG, затим промените његове боје помоћу CSS-а без поновног рендеровања. Исти дијаграм задржава свој идентитет. Ваша архитектура може престати да се облачи као неповезани веб-сајт. Pele ескејпује текст дијаграма и филтрира везе.

Које границе дијаграма остају ваше?

3:54 JavaScript клик позиви се игноришу. Слике и даље могу да шаљу мрежне захтеве када се приказују. Ваша апликација је власник ознаке иконе коју пружа и начина на који отвара интерне линкове. Pele вам омогућава да онемогућите линкове и слике, са ограничењима изворне и излазне величине. Апликација још увек има посла. Незгодне вести за све који се надају да мања зависност такође смањује одговорност. Сада та ознака.

Шта дестилација заправо објашњава?

4:15 Дестилација значи тренирање модела користећи излазе другог модела. OpenCode повезује повреду са великим нападом дестилације. То је наводна сврха. Оставља пут приступа, идентитет нападача и пун утицај на клијенте неоткривеним. Моја пресуда је потребна провера. Држао бих инцидент са конзолом под прегледом док не будемо могли да проценимо погођене акредитиве и поправку. Идентификујте која услуга држи ваш приступ провајдеру,

4:39 пре него што наслов изабере модел претње за вас. Ако бисте радије ово прочитали него да ме чујете како то говорим, дифф вам стиже у инбокс сваког јутра, бесплатно на thedailydiff.dev, линк испод. И то је дифф за данас. Ја сам Нико из Axrisi-ја. Спајајте одговорно.

Извори

1. Latest edited OpenCode Console security noticeOpenCode
2. Connected provider credentials and Console gatewayOpenCode documentation
3. Console is an optional providerOpenCode documentation
4. Distillation definition and separate background casesAnthropic
5. Sphinx understanding checks and adoption caveatsSphinx project
6. Pele Mermaid-to-SVG rendererPele project
7. Pele security and application responsibilitiesPele documentation
8. Pele maintainer's public explanationkepano