# การละเมิด OpenCode Console: ขอบเขตที่ได้รับผลกระทบ, ข้อมูลรับรองผู้ให้บริการ และการตรวจสอบเชิงปฏิบัติ

Published: 2026-10-18

OpenCode รายงานการละเมิดที่ส่งผลกระทบต่อผู้ใช้ Console 1.4% โดยเฉพาะกลุ่มย่อยที่มีผู้ให้บริการภายนอกเชื่อมโยงอยู่ ประกาศสาธารณะไม่ได้เปิดเผยเส้นทางการเข้าถึงและการแก้ไขที่เสร็จสมบูรณ์ การติดตามผลนี้อธิบายขอบเขตเกตเวย์ที่บันทึกไว้ จากนั้นจะตรวจสอบ hook การตรวจสอบความเข้าใจของ Sphinx และสัญญาความปลอดภัยในการเรนเดอร์ไดอะแกรมของ Pele

Canonical: https://thedailydiff.dev/th/video/2026-10-18-opencode-console-breach/

## วิดีโอนี้ครอบคลุมอะไรบ้าง

- ตัวเลข 1.4% ใช้กับผู้ใช้ Console; การติดตั้งเอเจนต์การเขียนโค้ดภายในเครื่องเพียงอย่างเดียวไม่ได้ทำให้รวมอยู่ในกลุ่มย่อยที่ได้รับผลกระทบที่รายงาน
- เอกสารผู้ให้บริการของ Console ระบุว่าจัดเก็บข้อมูลรับรองที่เชื่อมต่อไว้หลังเกตเวย์ นี่คือสถาปัตยกรรมที่จัดทำเป็นเอกสาร ไม่ใช่การสร้างใหม่ของเส้นทางการละเมิดที่ไม่เปิดเผย
- ตรวจสอบการแจ้งเตือนอย่างเป็นทางการและกิจกรรมของผู้ให้บริการ; การเก็บรักษาหลักฐานและการเพิกถอนข้อมูลรับรองที่น่าสงสัยเป็นคำแนะนำสุขอนามัยเหตุการณ์ทั่วไป ไม่ใช่รายการตรวจสอบการซ่อมแซมที่สมบูรณ์ที่ประกาศไว้
- Sphinx ส่งโค้ดที่เปลี่ยนแปลงและคำตอบไปยังผู้ตรวจสอบแยกต่างหาก, เปลี่ยนเส้นทาง Git hook ทั่วโลก และไม่มีขีดจำกัดการเรียกใช้โมเดลเริ่มต้น ผู้ตรวจสอบอาจผิดพลาดได้และสามารถข้ามการตรวจสอบภายในเครื่องได้
- Pele รองรับการเปลี่ยนแปลง CSS ไปยัง SVG เดียวกัน การเปรียบเทียบความเร็วถูกรายงานโดยผู้ขาย; รูปภาพยังคงสามารถส่งคำขอเครือข่ายได้และการมาร์กอัปไอคอนที่ผู้เรียกให้มายังคงเป็นความรับผิดชอบของแอปพลิเคชัน
- การกลั่นกรองอธิบายวัตถุประสงค์ที่ถูกกล่าวหาที่เกี่ยวข้องกับผลลัพธ์ของโมเดล; เส้นทางการเข้าถึงของเหตุการณ์, ตัวตนของผู้โจมตี และผลกระทบต่อลูกค้าทั้งหมดที่ยังไม่ถูกเปิดเผย

## บท

- 0:00 ใครได้รับผลกระทบจริงบ้าง?
- 0:39 1.4% อธิบายอะไรจริง ๆ?
- 1:09 ข้อมูลรับรองผู้ให้บริการอยู่ที่ไหน?
- 1:43 ผู้ใช้ที่ได้รับผลกระทบควรตรวจสอบอะไรบ้าง?
- 2:08 Git hook สามารถตรวจสอบความเข้าใจได้หรือไม่?
- 2:55 ผู้ตรวจสอบ Sphinx ได้รับอะไรบ้าง?
- 3:17 อะไรเปลี่ยนแปลงเมื่อ Pele เรนเดอร์ Mermaid?
- 3:52 ขอบเขตไดอะแกรมใดยังคงเป็นของคุณ?
- 4:15 การกลั่นกรองอธิบายอะไรจริง ๆ?

## บทถอดเสียงที่แปลแล้ว

แปลจากการบรรยายภาษาอังกฤษต้นฉบับ เสียงและคำบรรยายที่มีให้จะควบคุมโดย YouTube

### ใครได้รับผลกระทบจริงบ้าง?

0:00 คุณได้ยินว่า OpenCode ถูกแฮ็กและนึกถึงแล็ปท็อปของคุณ ประกาศของระบุว่ามีผู้ใช้ Console เพียงบางส่วนเท่านั้น คำตัดสิน NEEDS REVIEW ก่อนหน้านี้ของเราสมควรได้รับเรื่องราวทั้งหมด ในวิดีโอนี้ ใครคือผู้ที่ได้รับผลกระทบ? คุณควรตรวจสอบอะไรบ้าง? ทำไมป้ายกำกับหนึ่งถึงสำคัญ? วันอาทิตย์ที่ 18 ตุลาคม และนี่คือ The Daily Diff จำป้ายกำกับนั้นไว้

0:18 OpenCode เป็นตัวแทนการเขียนโค้ดโอเพนซอร์สสำหรับเทอร์มินัลของคุณ ตัวแก้ไขหรือเดสก์ท็อป Console เป็นเกตเวย์โมเดลที่โฮสต์เสริม นอกจากนี้ยังให้บริการบัญชีผู้ให้บริการที่คุณเชื่อมต่อ ประกาศระบุชื่อส่วนที่โฮสต์นั้น ประกาศเมื่อคืนนี้เป็นส่วนหนึ่งของ diff ของวันนี้ จากนั้น Git hook จะตั้งคำถามคุณเกี่ยวกับ โค้ดของเอเจนต์ของคุณ และตัวเรนเดอร์ไดอะแกรมจะอธิบาย

0:35 ขอบเขตความปลอดภัย เห็นได้ชัดว่าคุณสมบัติการเพิ่มประสิทธิภาพใหม่คือการอ่าน OpenCode กล่าวว่าผู้ใช้ Console หนึ่งจุดสี่เปอร์เซ็นต์ได้รับผลกระทบ

### 1.4% อธิบายอะไรจริง ๆ?

0:42 ซึ่งเป็นกลุ่มย่อยที่มีผู้ให้บริการภายนอกเชื่อมโยง กล่าวว่าพวกเขาได้รับอีเมล นั่นคือขอบเขตปัจจุบันของบริษัท โดยเหตุการณ์ยังคงดำเนินอยู่ เก็บตัวหารไว้ด้วย ผู้ใช้ Console คือประชากรนั้น ขนาดของมันยังไม่ถูกเปิดเผย ดังนั้นเราจึงไม่สามารถคำนวณจำนวนเหยื่อได้ การติดตั้งเอเจนต์ในเครื่องเพียงอย่างเดียวไม่ได้ทำให้คุณอยู่ในกลุ่มที่รายงาน นักพัฒนาชื่อ timo กล่าวว่าการละเมิดสำคัญกับลูกค้ามากกว่า

1:03 ป้ายกำกับการกลั่นกรอง ข้อกังวลที่ยุติธรรม ผู้คนต้องการคำตอบเกี่ยวกับบัญชีของตนในขณะที่อินเทอร์เน็ตกำลังถกเถียงกันเรื่อง การฝึกอบรมโมเดล เอกสารผู้ให้บริการอธิบายขอบเขตความน่าเชื่อถือ

### ข้อมูลรับรองผู้ให้บริการอยู่ที่ไหน?

1:12 Console จัดเก็บข้อมูลรับรองและกำหนดเส้นทางคำขอผ่านเกตเวย์ สมาชิกพื้นที่ทำงานใช้โมเดลโดยไม่เห็นคีย์ผู้ให้บริการ การดูแลระบบที่เป็นประโยชน์ทำให้เกตเวย์อยู่ในตำแหน่งที่คุณต้องเชื่อถือ คุณสามารถแบ่งปันการเข้าถึงได้โดยไม่ต้องวางคีย์อัปสตรีมบนเครื่องของเพื่อนร่วมทีมทุกคน เปอร์เซ็นต์เล็กน้อยยังสามารถอธิบายการเปิดเผยที่ร้ายแรงได้ ประกาศยังไม่ได้ให้ข้อมูลทางเทคนิคว่ามีการเข้าถึงได้อย่างไร การตลาดความปลอดภัยชอบคำพูดที่ให้ความสบายใจ นักพัฒนาติดตามว่าส่วนประกอบใดถือความลับใด

1:37 Console สมควรได้รับกล่องอีกกล่องในไดอะแกรมในความคิดของคุณ ซึ่งเป็นวิธีที่ภาพวาดสถาปัตยกรรมทุกภาพยาวขึ้น ตรวจสอบการแจ้งเตือนอย่างเป็นทางการและบันทึกกิจกรรมของผู้ให้บริการ

### ผู้ใช้ที่ได้รับผลกระทบควรตรวจสอบอะไรบ้าง?

1:45 สำหรับการใช้งานที่น่าสงสัย ให้เก็บหลักฐานและเพิกถอนข้อมูลรับรองที่เปิดเผยผ่าน ผู้ให้บริการของคุณ แทนที่การรวมระบบที่ได้รับผลกระทบอย่างจงใจ นั่นคือสุขอนามัยเหตุการณ์ทั่วไป; ประกาศขาดรายการตรวจสอบการแก้ไขปัญหาลูกค้าที่สมบูรณ์ OpenCode กล่าวว่ากำลังทำงานร่วมกับ Anthropic OpenAI และ Google เพื่อแก้ไข ยังไม่สามารถแบ่งปันรายละเอียดเพิ่มเติมได้ เราจะต้องรอรายงานฉบับหลังเพื่อตัดสินการแก้ไข ประกาศนี้ไม่ได้ให้คำมั่นสัญญาการชดเชยที่ได้รับการยืนยัน

### Git hook สามารถตรวจสอบความเข้าใจได้หรือไม่?

2:08 Sphinx เสนอการกำกับดูแลประเภทที่แตกต่างกัน มันจะหยุดการพุชสาขาที่ได้รับการป้องกันและถามว่าคุณเข้าใจโค้ดของเอเจนต์ของคุณหรือไม่ คำขอพูลได้รับการสอบปากเปล่า การเติมข้อความอัตโนมัติของคุณกำลังนิ่งเฉยอย่างน่าสงสัย ผู้ตรวจสอบแยกต่างหากอ่านการเปลี่ยนแปลงที่คอมมิตผ่านเครื่องมือ Git แบบอ่านอย่างเดียว โดยไม่เห็นการแชทที่สร้างขึ้น มันถามเกี่ยวกับพฤติกรรมและกรณีความล้มเหลว ตอบผิดและคุณจะได้รับสถานการณ์อื่น

2:30 ผ่าน และการพุชดั้งเดิมจะดำเนินต่อไป ไฟล์ readme ถามว่าเกิดอะไรขึ้นเมื่อคนงานคอมมิตแล้วล้มเหลวก่อนที่จะ รับทราบงานของตน การจัดส่งซ้ำสามารถทำซ้ำการดำเนินการได้ ตัวอย่างนี้เป็นภาพประกอบ; เรายังไม่ได้ติดตั้ง Sphinx หรือวัด การปรับปรุงในการตรวจสอบการผลิต Sphinx yolo ปิดใช้งานการตรวจสอบและบันทึกการข้าม สามารถข้าม hook ในเครื่องได้ และไฟล์ readme ระบุว่าผู้ตรวจสอบอาจผิดพลาดได้

2:51 ผู้ช่วยสอนหุ่นยนต์ได้รับอนุญาตให้ยอมรับว่ามันเป็นหุ่นยนต์ การตั้งค่าจะเปลี่ยนเส้นทาง Git hook ทั่วโลกของคุณ รวมถึงที่เก็บอื่น ๆ

### ผู้ตรวจสอบ Sphinx ได้รับอะไรบ้าง?

2:58 ผู้ตรวจสอบได้รับโค้ดที่เปลี่ยนแปลงและคำตอบของคุณ การยกเว้นชื่อไฟล์ไม่สามารถจับความลับที่วางในแหล่งที่มาปกติได้ อ่านสิ่งนั้นก่อนที่จะนำไปใช้ ไม่มีขีดจำกัดเริ่มต้นในการเรียกใช้โมเดล การตรวจสอบทั่วไปใช้คำขอห้าถึงแปดคำขอ บวกหนึ่งต่อคำตอบ กำหนดวงเงินการใช้จ่าย คุณสามารถจ่ายเพื่อสิทธิ์ในการอธิบายตัวเองสองครั้ง

### อะไรเปลี่ยนแปลงเมื่อ Pele เรนเดอร์ Mermaid?

3:17 Kepano ของ Obsidian เพิ่งเปิดตัว Pele ซึ่งเปลี่ยนข้อความ Mermaid เป็น SVG ตอบนักพัฒนาที่สงสัย เขากล่าวถึงการเขียนธีม Mermaid มาหกปี มีประวัติการบำรุงรักษาเบื้องหลังเธรดการเปิดตัว ชุดรวมที่บีบอัดมีขนาดประมาณสองร้อยสามสิบกิโลไบต์ เทียบกับ Mermaid หนึ่งจุดหกเมกะไบต์ รองรับประเภทไดอะแกรมของ Mermaid สิบสองจุดหนึ่ง การอ้างสิทธิ์ความเร็วคือการวัดของโปรเจกต์ เรายังไม่ได้ทำซ้ำการเปรียบเทียบนั้น

3:40 เขียนข้อความของไดอะแกรม, ได้ SVG, จากนั้นเปลี่ยนสีด้วย CSS โดยไม่ต้องเรนเดอร์อีกครั้ง ไดอะแกรมเดียวกันยังคงเอกลักษณ์ของมัน สถาปัตยกรรมของคุณสามารถหยุดแต่งตัวเหมือนเว็บไซต์ที่ไม่เกี่ยวข้องได้ Pele หลีกเลี่ยงข้อความไดอะแกรมและกรองลิงก์

### ขอบเขตไดอะแกรมใดยังคงเป็นของคุณ?

3:54 การเรียกกลับการคลิก JavaScript ถูกละเลย รูปภาพยังคงสามารถสร้างคำขอเครือข่ายเมื่อแสดงผล แอปพลิเคชันของคุณเป็นเจ้าของมาร์กอัปไอคอนที่ให้มาและวิธีการเปิดลิงก์ภายใน ลิงก์ Pele ช่วยให้คุณปิดใช้งานลิงก์และรูปภาพได้ โดยมีข้อจำกัดเกี่ยวกับขนาดแหล่งที่มาและเอาต์พุต แอปพลิเคชันยังคงมีงานต้องทำ ข่าวที่น่าอึดอัดสำหรับทุกคนที่หวังว่าการพึ่งพาที่เล็กลงจะลดความรับผิดชอบลงด้วย ตอนนี้ป้ายกำกับนั้น

### การกลั่นกรองอธิบายอะไรจริง ๆ?

4:15 การกลั่นกรองหมายถึงการฝึกโมเดลโดยใช้ผลลัพธ์ของโมเดลอื่น OpenCode เชื่อมโยงการละเมิดกับการโจมตีการกลั่นกรองขนาดใหญ่ นั่นคือวัตถุประสงค์ที่ถูกกล่าวหา มันไม่ได้เปิดเผยเส้นทางการเข้าถึง, ตัวตนของผู้โจมตี และผลกระทบต่อลูกค้าทั้งหมด คำตัดสินของฉันคือ NEEDS REVIEW ฉันจะเก็บเหตุการณ์ Console ไว้ภายใต้การตรวจสอบจนกว่าเราจะสามารถประเมิน ข้อมูลรับรองที่ได้รับผลกระทบและการแก้ไขได้ ระบุว่าบริการใดถือสิทธิ์การเข้าถึงผู้ให้บริการของคุณ

4:39 ก่อนที่พาดหัวข่าวจะเลือกรุ่นภัยคุกคามให้คุณ หากคุณต้องการอ่านสิ่งนี้มากกว่าที่จะฟังฉันพูด diff จะถูกส่งไปยังกล่องจดหมายของคุณ ทุกเช้า ฟรีที่ the daily diff dot dev ลิงก์ด้านล่าง และนั่นคือ diff สำหรับวันนี้ ฉันคือนิโก้จาก Axrisi รวมอย่างรับผิดชอบ

## แหล่งที่มา

- [Latest edited OpenCode Console security notice](https://x.com/opencode/status/2111519637049319818) — OpenCode
- [Connected provider credentials and Console gateway](https://opencode.ai/v2/docs/console/providers/) — OpenCode documentation
- [Console is an optional provider](https://opencode.ai/v2/docs/console/models/) — OpenCode documentation
- [Distillation definition and separate background cases](https://www.anthropic.com/news/detecting-and-preventing-distillation-attacks) — Anthropic
- [Sphinx understanding checks and adoption caveats](https://github.com/parthh01/sphinx) — Sphinx project
- [Pele Mermaid-to-SVG renderer](https://pele.run/) — Pele project
- [Pele security and application responsibilities](https://pele.run/security) — Pele documentation
- [Pele maintainer's public explanation](https://x.com/kepano/status/2111575190081847776) — kepano