# ஓப்பன்கோட் கன்சோல் பாதுகாப்பு அத்துமீறல்: பாதிப்பின் நோக்கம், வழங்குநர் சான்றுகள் மற்றும் நடைமுறைச் சோதனைகள்

Published: 2026-10-18

ஓப்பன்கோட், கன்சோல் பயனர்களில் 1.4% பேரைப் பாதித்த ஒரு பாதுகாப்பு அத்துமீறலைப் புகாரளிக்கிறது, குறிப்பாக வெளிப்புற வழங்குநர்களுடன் இணைக்கப்பட்ட ஒரு துணைக்குழுவைப் பாதிக்கிறது. பொது அறிவிப்பில் அணுகல் பாதை மற்றும் செய்யப்பட்ட திருத்தம் வெளியிடப்படவில்லை. இந்தத் தொடர்ச்சி ஆவணப்படுத்தப்பட்ட கேட்வே எல்லையை விளக்குகிறது, பின்னர் ஸ்பின்க்ஸ்சின் புரிதல்-சரிபார்ப்பு ஹுக்கையும் பெலேயின் வரைபடம்-வழங்கும் பாதுகாப்பு ஒப்பந்தத்தையும் ஆராய்கிறது.

Canonical: https://thedailydiff.dev/ta/video/2026-10-18-opencode-console-breach/

## இந்த வீடியோ எதைப் பற்றி விவாதிக்கிறது

- 1.4% என்பது கன்சோல் பயனர்களுக்குப் பொருந்தும்; உள்ளூர் குறியீட்டு முகவரை மட்டும் நிறுவுவது பாதிக்கப்பட்ட துணைக்குழுவில் சேர்ப்பதை ஏற்படுத்தாது.
- கன்சோலின் வழங்குநர் ஆவணங்கள் அதன் இணைக்கப்பட்ட சான்றுகளை அதன் கேட்வேயின் பின்னால் சேமிக்கிறது என்று கூறுகிறது. இது ஆவணப்படுத்தப்பட்ட கட்டமைப்பு, வெளியிடப்படாத பாதுகாப்பு அத்துமீறல் பாதையின் புனரமைப்பு அல்ல.
- அதிகாரப்பூர்வ அறிவிப்பு மற்றும் வழங்குநர் செயல்பாட்டை மதிப்பாய்வு செய்யவும்; ஆதாரங்களைப் பாதுகாத்தல் மற்றும் சந்தேகத்திற்கிடமான சான்றுகளை ரத்து செய்தல் ஆகியவை பொதுவான சம்பவ-சுத்திகரிப்பு ஆலோசனை, அறிவிக்கப்பட்ட முழுமையான பழுதுபார்ப்பு சரிபார்ப்பு பட்டியல் அல்ல.
- ஸ்பின்ங்க்ஸ் மாற்றப்பட்ட குறியீடு மற்றும் பதில்களை ஒரு தனி மதிப்பாய்வாளருக்கு அனுப்புகிறது, உலகளாவிய Git ஹுக் பாதையை மாற்றுகிறது, மேலும் இயல்புநிலை மாதிரி-அழைப்பு வரம்பு இல்லை. அதன் பரீட்சகர் தவறாக இருக்கலாம் மற்றும் உள்ளூர் சோதனைகள் தவிர்க்கப்படலாம்.
- பெலே அதே SVGக்கு CSS மாற்றங்களை ஆதரிக்கிறது. அதன் வேக ஒப்பீடு விற்பனையாளரால் அறிவிக்கப்பட்டது; படங்கள் இன்னும் பிணைய கோரிக்கைகளை வெளியிடலாம் மற்றும் அழைப்பாளர் வழங்கிய ஐகான் மார்க்அப் ஒரு பயன்பாட்டு பொறுப்பாகும்.
- பியூர்ஃபிகேஷன் என்பது மாதிரி வெளியீடுகளை உள்ளடக்கிய ஒரு நோக்கத்தை விவரிக்கிறது; சம்பவத்தின் அணுகல் பாதை, தாக்குபவரின் அடையாளம் மற்றும் முழுமையான வாடிக்கையாளர் பாதிப்பு வெளியிடப்படவில்லை.

## அத்தியாயங்கள்

- 0:00 யார் உண்மையில் பாதிக்கப்பட்டனர்?
- 0:39 1.4% உண்மையில் எதை விவரிக்கிறது?
- 1:09 வழங்குநர் சான்று எங்கே உள்ளது?
- 1:43 பாதிக்கப்பட்ட பயனர் என்ன சரிபார்க்க வேண்டும்?
- 2:08 ஒரு Git ஹுக் புரிதலை சரிபார்க்க முடியுமா?
- 2:55 ஸ்பின்ங்க்ஸ் மதிப்பாய்வாளர் எதைப் பெறுகிறார்?
- 3:17 பெலே மெர்மெய்ட்-ஐ வழங்கும்போது என்ன மாறுகிறது?
- 3:52 எந்த வரைபட எல்லைகள் உங்களுடையதாக இருக்கின்றன?
- 4:15 பியூர்ஃபிகேஷன் உண்மையில் எதை விளக்குகிறது?

## மொழிபெயர்க்கப்பட்ட டிரான்ஸ்கிரிப்ட்

அசல் ஆங்கில விளக்கத்திலிருந்து மொழிபெயர்க்கப்பட்டது. கிடைக்கும் ஆடியோ மற்றும் தலைப்புகள் YouTube ஆல் கட்டுப்படுத்தப்படுகின்றன.

### யார் உண்மையில் பாதிக்கப்பட்டனர்?

0:00 ஓப்பன்கோட் ஹேக் செய்யப்பட்டது என்று நீங்கள் கேள்விப்பட்டு உங்கள் லேப்டாப்பை கற்பனை செய்கிறீர்கள். அதன் அறிவிப்பு கன்சோல் பயனர்களில் ஒரு துணைக்குழுவைக் குறிப்பிடுகிறது. எங்கள் முந்தைய மதிப்பாய்வு தேவை தீர்ப்பு முழு கதையையும் அறிய வேண்டும். இந்த வீடியோவில், யார் பாதிக்கப்பட்டனர்? நீங்கள் என்ன சரிபார்க்க வேண்டும்? ஏன் ஒரு லேபிள் முக்கியம்? இது அக்டோபர் பதினெட்டாம் தேதி ஞாயிற்றுக்கிழமை, இது தி டெய்லி டிஃப். அந்த லேபிளை மனதில் கொள்ளுங்கள்.

0:18 ஓப்பன்கோட் என்பது உங்கள் டெர்மினலுக்கான ஒரு திறந்த மூல குறியீட்டு முகவர், எடிட்டர் அல்லது டெஸ்க்டாப். கன்சோல் அதன் விருப்பமான ஹோஸ்ட் செய்யப்பட்ட மாதிரி கேட்வே. இது நீங்கள் இணைக்கும் வழங்குநர் கணக்குகளையும் வழங்குகிறது. அந்த ஹோஸ்ட் செய்யப்பட்ட பகுதியை அறிவிப்பு பெயரிடுகிறது. நேற்றிரவு அறிவிப்பு இன்றைய வேறுபாட்டை வழிநடத்துகிறது. பின்னர் ஒரு Git ஹுக் உங்களை வினாக்கள் கேட்கிறது உங்கள் முகவரின் குறியீடு, மற்றும் ஒரு வரைபடம் வழங்குநர் அதன் பாதுகாப்பு எல்லைகளை விளக்குகிறது.

0:35 அதன் பாதுகாப்பு எல்லைகளை விளக்குகிறது. வெளிப்படையாக புதிய உற்பத்தித்திறன் அம்சம் வாசிப்பு. ஓப்பன்கோட், கன்சோல் பயனர்களில் 1.4 சதவீதம் பேர் பாதிக்கப்பட்டுள்ளனர் என்று கூறுகிறது,

### 1.4% உண்மையில் எதை விவரிக்கிறது?

0:42 வெளிப்புற வழங்குநர்களுடன் இணைக்கப்பட்ட ஒரு துணைக்குழு. அவர்களுக்கு மின்னஞ்சல் அனுப்பப்பட்டது என்று கூறுகிறது. இது நிறுவனத்தின் தற்போதைய நோக்கம், சம்பவம் இன்னும் நடந்து கொண்டிருக்கிறது. வகுப்பைப் இணைத்து வைத்திருங்கள். கன்சோல் பயனர்கள் அந்த மக்கள் தொகை. அதன் அளவு வெளியிடப்படவில்லை, எனவே பாதிக்கப்பட்டவர்களின் எண்ணிக்கையை நாம் கணக்கிட முடியாது. உள்ளூர் முகவரை மட்டும் நிறுவுவது உங்களை அறிவிக்கப்பட்ட குழுவில் சேர்க்காது. டிமோ என்ற டெவலப்பர், இந்த பாதுகாப்பு அத்துமீறல் "பியூர்ஃபிகேஷன்" லேபிளை விட வாடிக்கையாளர்களுக்கு

1:03 முக்கியமானது என்கிறார். நியாயமான கவலை. மாதிரி பயிற்சி பற்றி இணையத்தில் விவாதிக்கும் போது மக்கள் தங்கள் கணக்குகள் பற்றிய பதில்களை விரும்புகிறார்கள். வழங்குநர் ஆவணங்கள் நம்பிக்கை எல்லையை விளக்குகின்றன.

### வழங்குநர் சான்று எங்கே உள்ளது?

1:12 கன்சோல் சான்றுகளை சேமித்து அதன் கேட்வே வழியாக கோரிக்கைகளை அனுப்புகிறது. பணிப்பகுதி உறுப்பினர்கள் வழங்குநர் சாவியைப் பார்க்காமல் மாதிரிகளைப் பயன்படுத்துகிறார்கள். பயனுள்ள நிர்வாகம் கேட்வேயை நீங்கள் நம்ப வேண்டிய ஒரு நிலையில் வைக்கிறது. ஒவ்வொரு குழு உறுப்பினரின் இயந்திரத்திலும் மேல்நிலை சாவியை வைக்காமல் அணுகலைப் பகிரலாம். ஒரு சிறிய சதவீதம் இன்னும் தீவிரமான வெளிப்பாட்டை விவரிக்கலாம். அறிவிப்பு அணுகல் எவ்வாறு பெறப்பட்டது என்பது பற்றிய தொழில்நுட்ப கணக்கை வழங்கவில்லை. பாதுகாப்பு சந்தைப்படுத்தல் ஒரு ஆறுதலான வார்த்தையை விரும்புகிறது. எந்த கூறு எந்த ரகசியத்தை வைத்திருக்கிறது என்பதை டெவலப்பர்கள் பின்பற்றுகிறார்கள்.

1:37 உங்கள் மன வரைபடத்தில் கன்சோல் மற்றொரு பெட்டியைப் பெற வேண்டும், இது ஒவ்வொரு கட்டிடக்கலை வரைபடமும் நீளமாக மாறும் விதம். அதிகாரப்பூர்வ அறிவிப்பு மற்றும் வழங்குநர் செயல்பாட்டு பதிவுகளை சரிபார்க்கவும்.

### பாதிக்கப்பட்ட பயனர் என்ன சரிபார்க்க வேண்டும்?

1:45 சந்தேகத்திற்கிடமான பயன்பாட்டிற்கு, ஆதாரங்களைப் பாதுகாத்து, உங்கள் வழங்குநர் மூலம் வெளிப்பட்ட சான்றுகளை ரத்து செய்யவும். பாதிக்கப்பட்ட ஒருங்கிணைப்புகளை வேண்டுமென்றே மாற்றவும். இது பொதுவான சம்பவ சுகாதாரமானது; அறிவிப்பில் ஒரு முழுமையான வாடிக்கையாளர் சரிசெய்தல் சரிபார்ப்பு பட்டியல் இல்லை. ஓப்பன்கோட், ஆன்ட்ரோபிக், ஓபன்ஏஐ மற்றும் கூகிளுடன் சரிசெய்ய வேலை செய்வதாகக் கூறுகிறது. அது இன்னும் கூடுதல் விவரங்களைப் பகிர முடியாது. திருத்தத்தை தீர்மானிக்க பின்னர் வரும் அறிக்கை தேவைப்படும். இந்த அறிவிப்பு எந்த சரிபார்க்கப்பட்ட இழப்பீட்டு வாக்குறுதியையும் அளிக்கவில்லை.

### ஒரு Git ஹுக் புரிதலை சரிபார்க்க முடியுமா?

2:08 ஸ்பின்ங்க்ஸ் ஒரு வித்தியாசமான மேற்பார்வையை வழங்குகிறது. இது ஒரு பாதுகாக்கப்பட்ட கிளை புஷ்ஷை இடைநிறுத்தி, உங்கள் முகவரின் குறியீட்டை நீங்கள் புரிந்துகொள்கிறீர்களா என்று கேட்கிறது. புல் கோரிக்கை ஒரு வாய்வழித் தேர்வைப் பெற்றுள்ளது. உங்கள் தானியங்கு நிரப்புதல் சந்தேகத்திற்கிடமான அமைதியுடன் அமர்ந்திருக்கிறது. ஒரு தனி மதிப்பாய்வாளர், உருவாக்கும் அரட்டையைப் பார்க்காமல், படித்து மட்டுமே செயல்படும் Git கருவிகள் மூலம் செய்யப்பட்ட மாற்றத்தைப் படிக்கிறார். இது நடத்தை மற்றும் தோல்வி வழக்குகள் பற்றி கேட்கிறது. தவறாகப் பதிலளித்தால் மற்றொரு சூழ்நிலை உங்களுக்குக் கிடைக்கும்.

2:30 தேர்ச்சி பெற்றால், அசல் புஷ் தொடர்கிறது. ஒரு பணியாளர் உறுதிசெய்து, தனது வேலையை ஒப்புக்கொள்வதற்கு முன் செயலிழந்தால் என்ன நடக்கும் என்று ரீட்மி கேட்கிறது. மீண்டும் வழங்குதல் செயல்பாட்டை மீண்டும் செய்யலாம். உதாரணம் விளக்கமானது; நாங்கள் ஸ்பின்ங்க்ஸை நிறுவவில்லை அல்லது உற்பத்தி மதிப்பாய்வில் ஒரு மேம்பாட்டை அளவிடவில்லை. ஸ்பின்ங்க்ஸ் யோலோ சோதனைகளை முடக்கி, தவிர்க்கப்பட்டதை பதிவு செய்கிறது. உள்ளூர் ஹுக்குகள் தவிர்க்கப்படலாம், மேலும் ரீட்மி, பரீட்சகர் தவறாக இருக்கலாம் என்று கூறுகிறது.

2:51 ரோபோ ஆசிரிய உதவியாளருக்கு தான் ஒரு ரோபோ என்று ஒப்புக்கொள்ள அனுமதி உண்டு. அமைப்பு உங்கள் உலகளாவிய Git ஹுக் பாதையை மாற்றுகிறது, மற்ற களஞ்சியங்கள் உட்பட.

### ஸ்பின்ங்க்ஸ் மதிப்பாய்வாளர் எதைப் பெறுகிறார்?

2:58 மதிப்பாய்வாளர் மாற்றப்பட்ட குறியீடு மற்றும் உங்கள் பதில்களைப் பெறுகிறார். கோப்புப்பெயர் விலக்குகள் சாதாரண மூலத்தில் ஒட்டப்பட்ட ரகசியத்தைப் பிடிக்க முடியாது. அதை ஏற்றுக்கொள்வதற்கு முன் அதைப் படியுங்கள். மாதிரி அழைப்புகளுக்கு இயல்புநிலை வரம்பு இல்லை. ஒரு வழக்கமான சோதனை ஐந்து முதல் எட்டு கோரிக்கைகளைப் பயன்படுத்துகிறது, ஒரு பதிலுக்கு ஒன்று கூடுதலாக. செலவு வரம்புகளை அமைக்கவும். உங்களை இரண்டு முறை விளக்கும் சிறப்புரிமைக்காக நீங்கள் பணம் செலுத்தலாம்.

### பெலே மெர்மெய்ட்-ஐ வழங்கும்போது என்ன மாறுகிறது?

3:17 ஒப்ஸிடியனின் கெபனோ, மெர்மெய்ட் உரையை SVG ஆக மாற்றும் பெலேயை வெளியிட்டார். ஒரு சந்தேகவாதி டெவலப்பருக்கு பதிலளிக்கும் விதமாக, அவர் ஆறு வருடங்களாக மெர்மெய்ட் தீம்களை எழுதுவதைச் சுட்டிக்காட்டுகிறார். வெளியீட்டு இழையின் பின்னால் பராமரிப்பு வரலாறு உள்ளது. அதன் சுருக்கப்பட்ட தொகுப்பு சுமார் இருநூற்று முப்பது கிலோபைட் என்று கூறப்படுகிறது, மெர்மெய்ட்டின் 1.6 மெகாபைட்டுக்கு எதிராக. இது மெர்மெய்ட் 12.1 இன் வரைபட வகைகளை ஆதரிக்கிறது. வேகக் கோரிக்கைகள் திட்டத்தின் அளவீடுகள். நாங்கள் அந்த ஒப்பீட்டை மீண்டும் உருவாக்கவில்லை.

3:40 வரைபடத்தின் உரையை எழுதி, SVG ஐப் பெற்று, பின்னர் அதை மீண்டும் வழங்காமல் CSS மூலம் அதன் வண்ணங்களை மாற்றவும். அதே வரைபடம் அதன் அடையாளத்தை வைத்திருக்கிறது. உங்கள் கட்டிடக்கலை இனி ஒரு தொடர்பில்லாத வலைத்தளத்தைப் போல உடையணிய வேண்டியதில்லை. பெலே வரைபட உரையைத் தவிர்த்து இணைப்புகளை வடிகட்டுகிறது.

### எந்த வரைபட எல்லைகள் உங்களுடையதாக இருக்கின்றன?

3:54 JavaScript கிளிக் கால்பேக்குகள் புறக்கணிக்கப்படுகின்றன. படங்கள் காட்டப்படும் போது இன்னும் பிணைய கோரிக்கைகளை செய்யலாம். உங்கள் பயன்பாடு அது வழங்கும் ஐகான் மார்க்அப்பையும் அது உள் இணைப்புகளை எவ்வாறு திறக்கிறது என்பதையும் சொந்தமாக்குகிறது. மூல மற்றும் வெளியீட்டு அளவு வரம்புகளுடன் இணைப்புகள் மற்றும் படங்களை முடக்க பெலே உங்களை அனுமதிக்கிறது. பயன்பாட்டிற்கு இன்னும் வேலை இருக்கிறது. ஒரு சிறிய சார்புத்தன்மையும் பொறுப்பைக் குறைக்கும் என்று நம்புபவர்களுக்கு சங்கடமான செய்தி. இப்போது அந்த லேபிள்.

### பியூர்ஃபிகேஷன் உண்மையில் எதை விளக்குகிறது?

4:15 பியூர்ஃபிகேஷன் என்பது மற்றொரு மாதிரியின் வெளியீடுகளைப் பயன்படுத்தி ஒரு மாதிரியைப் பயிற்றுவிப்பதைக் குறிக்கிறது. ஓப்பன்கோட் இந்த பாதுகாப்பற்ற அத்துமீறலை ஒரு பெரிய அளவிலான "பியூர்ஃபிகேஷன்" தாக்குதலுடன் தொடர்புபடுத்துகிறது. அது கூறப்படும் நோக்கம். இது அணுகல் பாதை, தாக்குபவரின் அடையாளம் மற்றும் முழுமையான வாடிக்கையாளர் பாதிப்பு ஆகியவற்றை வெளியிடவில்லை. எனது தீர்ப்பு மதிப்பாய்வு தேவை. பாதிக்கப்பட்ட சான்றுகள் மற்றும் திருத்தத்தை நாம் மதிப்பிட முடியும் வரை கன்சோல் சம்பவத்தை மதிப்பாய்வின் கீழ் வைத்திருப்பேன். ஒரு தலைப்புச் செய்தி உங்களுக்காக அச்சுறுத்தல் மாதிரியைத் தேர்ந்தெடுப்பதற்கு

4:39 முன், உங்கள் வழங்குநர் அணுகலை எந்த சேவை வைத்திருக்கிறது என்பதை அடையாளம் காணவும். நான் இதைச் சொல்வதைக் கேட்பதை விட இதைப் படிக்க விரும்பினால், வேறுபாடு உங்கள் இன்பாக்ஸில் ஒவ்வொரு காலையிலும், dailydiff.dev இல் இலவசமாக, கீழே உள்ள இணைப்பு. அதுதான் இன்றைய வேறுபாடு. நான் ஆக்ரிசியில் இருந்து நிகோ. பொறுப்புடன் இணைக்கவும்.

## ஆதாரங்கள்

- [Latest edited OpenCode Console security notice](https://x.com/opencode/status/2111519637049319818) — OpenCode
- [Connected provider credentials and Console gateway](https://opencode.ai/v2/docs/console/providers/) — OpenCode documentation
- [Console is an optional provider](https://opencode.ai/v2/docs/console/models/) — OpenCode documentation
- [Distillation definition and separate background cases](https://www.anthropic.com/news/detecting-and-preventing-distillation-attacks) — Anthropic
- [Sphinx understanding checks and adoption caveats](https://github.com/parthh01/sphinx) — Sphinx project
- [Pele Mermaid-to-SVG renderer](https://pele.run/) — Pele project
- [Pele security and application responsibilities](https://pele.run/security) — Pele documentation
- [Pele maintainer's public explanation](https://x.com/kepano/status/2111575190081847776) — kepano