การละเมิด OpenCode Console: ขอบเขตที่ได้รับผลกระทบ, ข้อมูลรับรองผู้ให้บริการ และการตรวจสอบเชิงปฏิบัติ

วิดีโอนี้ครอบคลุมอะไรบ้าง

• ตัวเลข 1.4% ใช้กับผู้ใช้ Console; การติดตั้งเอเจนต์การเขียนโค้ดภายในเครื่องเพียงอย่างเดียวไม่ได้ทำให้รวมอยู่ในกลุ่มย่อยที่ได้รับผลกระทบที่รายงาน
• เอกสารผู้ให้บริการของ Console ระบุว่าจัดเก็บข้อมูลรับรองที่เชื่อมต่อไว้หลังเกตเวย์ นี่คือสถาปัตยกรรมที่จัดทำเป็นเอกสาร ไม่ใช่การสร้างใหม่ของเส้นทางการละเมิดที่ไม่เปิดเผย
• ตรวจสอบการแจ้งเตือนอย่างเป็นทางการและกิจกรรมของผู้ให้บริการ; การเก็บรักษาหลักฐานและการเพิกถอนข้อมูลรับรองที่น่าสงสัยเป็นคำแนะนำสุขอนามัยเหตุการณ์ทั่วไป ไม่ใช่รายการตรวจสอบการซ่อมแซมที่สมบูรณ์ที่ประกาศไว้
• Sphinx ส่งโค้ดที่เปลี่ยนแปลงและคำตอบไปยังผู้ตรวจสอบแยกต่างหาก, เปลี่ยนเส้นทาง Git hook ทั่วโลก และไม่มีขีดจำกัดการเรียกใช้โมเดลเริ่มต้น ผู้ตรวจสอบอาจผิดพลาดได้และสามารถข้ามการตรวจสอบภายในเครื่องได้
• Pele รองรับการเปลี่ยนแปลง CSS ไปยัง SVG เดียวกัน การเปรียบเทียบความเร็วถูกรายงานโดยผู้ขาย; รูปภาพยังคงสามารถส่งคำขอเครือข่ายได้และการมาร์กอัปไอคอนที่ผู้เรียกให้มายังคงเป็นความรับผิดชอบของแอปพลิเคชัน
• การกลั่นกรองอธิบายวัตถุประสงค์ที่ถูกกล่าวหาที่เกี่ยวข้องกับผลลัพธ์ของโมเดล; เส้นทางการเข้าถึงของเหตุการณ์, ตัวตนของผู้โจมตี และผลกระทบต่อลูกค้าทั้งหมดที่ยังไม่ถูกเปิดเผย

บทถอดเสียงที่แปลแล้ว

แปลจากการบรรยายภาษาอังกฤษต้นฉบับ เสียงและคำบรรยายที่มีให้จะควบคุมโดย YouTube

ใครได้รับผลกระทบจริงบ้าง?

0:00 คุณได้ยินว่า OpenCode ถูกแฮ็กและนึกถึงแล็ปท็อปของคุณ ประกาศของระบุว่ามีผู้ใช้ Console เพียงบางส่วนเท่านั้น คำตัดสิน NEEDS REVIEW ก่อนหน้านี้ของเราสมควรได้รับเรื่องราวทั้งหมด ในวิดีโอนี้ ใครคือผู้ที่ได้รับผลกระทบ? คุณควรตรวจสอบอะไรบ้าง? ทำไมป้ายกำกับหนึ่งถึงสำคัญ? วันอาทิตย์ที่ 18 ตุลาคม และนี่คือ The Daily Diff จำป้ายกำกับนั้นไว้

0:18 OpenCode เป็นตัวแทนการเขียนโค้ดโอเพนซอร์สสำหรับเทอร์มินัลของคุณ ตัวแก้ไขหรือเดสก์ท็อป Console เป็นเกตเวย์โมเดลที่โฮสต์เสริม นอกจากนี้ยังให้บริการบัญชีผู้ให้บริการที่คุณเชื่อมต่อ ประกาศระบุชื่อส่วนที่โฮสต์นั้น ประกาศเมื่อคืนนี้เป็นส่วนหนึ่งของ diff ของวันนี้ จากนั้น Git hook จะตั้งคำถามคุณเกี่ยวกับ โค้ดของเอเจนต์ของคุณ และตัวเรนเดอร์ไดอะแกรมจะอธิบาย

0:35 ขอบเขตความปลอดภัย เห็นได้ชัดว่าคุณสมบัติการเพิ่มประสิทธิภาพใหม่คือการอ่าน OpenCode กล่าวว่าผู้ใช้ Console หนึ่งจุดสี่เปอร์เซ็นต์ได้รับผลกระทบ

1.4% อธิบายอะไรจริง ๆ?

0:42 ซึ่งเป็นกลุ่มย่อยที่มีผู้ให้บริการภายนอกเชื่อมโยง กล่าวว่าพวกเขาได้รับอีเมล นั่นคือขอบเขตปัจจุบันของบริษัท โดยเหตุการณ์ยังคงดำเนินอยู่ เก็บตัวหารไว้ด้วย ผู้ใช้ Console คือประชากรนั้น ขนาดของมันยังไม่ถูกเปิดเผย ดังนั้นเราจึงไม่สามารถคำนวณจำนวนเหยื่อได้ การติดตั้งเอเจนต์ในเครื่องเพียงอย่างเดียวไม่ได้ทำให้คุณอยู่ในกลุ่มที่รายงาน นักพัฒนาชื่อ timo กล่าวว่าการละเมิดสำคัญกับลูกค้ามากกว่า

1:03 ป้ายกำกับการกลั่นกรอง ข้อกังวลที่ยุติธรรม ผู้คนต้องการคำตอบเกี่ยวกับบัญชีของตนในขณะที่อินเทอร์เน็ตกำลังถกเถียงกันเรื่อง การฝึกอบรมโมเดล เอกสารผู้ให้บริการอธิบายขอบเขตความน่าเชื่อถือ

ข้อมูลรับรองผู้ให้บริการอยู่ที่ไหน?

1:12 Console จัดเก็บข้อมูลรับรองและกำหนดเส้นทางคำขอผ่านเกตเวย์ สมาชิกพื้นที่ทำงานใช้โมเดลโดยไม่เห็นคีย์ผู้ให้บริการ การดูแลระบบที่เป็นประโยชน์ทำให้เกตเวย์อยู่ในตำแหน่งที่คุณต้องเชื่อถือ คุณสามารถแบ่งปันการเข้าถึงได้โดยไม่ต้องวางคีย์อัปสตรีมบนเครื่องของเพื่อนร่วมทีมทุกคน เปอร์เซ็นต์เล็กน้อยยังสามารถอธิบายการเปิดเผยที่ร้ายแรงได้ ประกาศยังไม่ได้ให้ข้อมูลทางเทคนิคว่ามีการเข้าถึงได้อย่างไร การตลาดความปลอดภัยชอบคำพูดที่ให้ความสบายใจ นักพัฒนาติดตามว่าส่วนประกอบใดถือความลับใด

1:37 Console สมควรได้รับกล่องอีกกล่องในไดอะแกรมในความคิดของคุณ ซึ่งเป็นวิธีที่ภาพวาดสถาปัตยกรรมทุกภาพยาวขึ้น ตรวจสอบการแจ้งเตือนอย่างเป็นทางการและบันทึกกิจกรรมของผู้ให้บริการ

ผู้ใช้ที่ได้รับผลกระทบควรตรวจสอบอะไรบ้าง?

1:45 สำหรับการใช้งานที่น่าสงสัย ให้เก็บหลักฐานและเพิกถอนข้อมูลรับรองที่เปิดเผยผ่าน ผู้ให้บริการของคุณ แทนที่การรวมระบบที่ได้รับผลกระทบอย่างจงใจ นั่นคือสุขอนามัยเหตุการณ์ทั่วไป; ประกาศขาดรายการตรวจสอบการแก้ไขปัญหาลูกค้าที่สมบูรณ์ OpenCode กล่าวว่ากำลังทำงานร่วมกับ Anthropic OpenAI และ Google เพื่อแก้ไข ยังไม่สามารถแบ่งปันรายละเอียดเพิ่มเติมได้ เราจะต้องรอรายงานฉบับหลังเพื่อตัดสินการแก้ไข ประกาศนี้ไม่ได้ให้คำมั่นสัญญาการชดเชยที่ได้รับการยืนยัน

Git hook สามารถตรวจสอบความเข้าใจได้หรือไม่?

2:08 Sphinx เสนอการกำกับดูแลประเภทที่แตกต่างกัน มันจะหยุดการพุชสาขาที่ได้รับการป้องกันและถามว่าคุณเข้าใจโค้ดของเอเจนต์ของคุณหรือไม่ คำขอพูลได้รับการสอบปากเปล่า การเติมข้อความอัตโนมัติของคุณกำลังนิ่งเฉยอย่างน่าสงสัย ผู้ตรวจสอบแยกต่างหากอ่านการเปลี่ยนแปลงที่คอมมิตผ่านเครื่องมือ Git แบบอ่านอย่างเดียว โดยไม่เห็นการแชทที่สร้างขึ้น มันถามเกี่ยวกับพฤติกรรมและกรณีความล้มเหลว ตอบผิดและคุณจะได้รับสถานการณ์อื่น

2:30 ผ่าน และการพุชดั้งเดิมจะดำเนินต่อไป ไฟล์ readme ถามว่าเกิดอะไรขึ้นเมื่อคนงานคอมมิตแล้วล้มเหลวก่อนที่จะ รับทราบงานของตน การจัดส่งซ้ำสามารถทำซ้ำการดำเนินการได้ ตัวอย่างนี้เป็นภาพประกอบ; เรายังไม่ได้ติดตั้ง Sphinx หรือวัด การปรับปรุงในการตรวจสอบการผลิต Sphinx yolo ปิดใช้งานการตรวจสอบและบันทึกการข้าม สามารถข้าม hook ในเครื่องได้ และไฟล์ readme ระบุว่าผู้ตรวจสอบอาจผิดพลาดได้

2:51 ผู้ช่วยสอนหุ่นยนต์ได้รับอนุญาตให้ยอมรับว่ามันเป็นหุ่นยนต์ การตั้งค่าจะเปลี่ยนเส้นทาง Git hook ทั่วโลกของคุณ รวมถึงที่เก็บอื่น ๆ

ผู้ตรวจสอบ Sphinx ได้รับอะไรบ้าง?

2:58 ผู้ตรวจสอบได้รับโค้ดที่เปลี่ยนแปลงและคำตอบของคุณ การยกเว้นชื่อไฟล์ไม่สามารถจับความลับที่วางในแหล่งที่มาปกติได้ อ่านสิ่งนั้นก่อนที่จะนำไปใช้ ไม่มีขีดจำกัดเริ่มต้นในการเรียกใช้โมเดล การตรวจสอบทั่วไปใช้คำขอห้าถึงแปดคำขอ บวกหนึ่งต่อคำตอบ กำหนดวงเงินการใช้จ่าย คุณสามารถจ่ายเพื่อสิทธิ์ในการอธิบายตัวเองสองครั้ง

อะไรเปลี่ยนแปลงเมื่อ Pele เรนเดอร์ Mermaid?

3:17 Kepano ของ Obsidian เพิ่งเปิดตัว Pele ซึ่งเปลี่ยนข้อความ Mermaid เป็น SVG ตอบนักพัฒนาที่สงสัย เขากล่าวถึงการเขียนธีม Mermaid มาหกปี มีประวัติการบำรุงรักษาเบื้องหลังเธรดการเปิดตัว ชุดรวมที่บีบอัดมีขนาดประมาณสองร้อยสามสิบกิโลไบต์ เทียบกับ Mermaid หนึ่งจุดหกเมกะไบต์ รองรับประเภทไดอะแกรมของ Mermaid สิบสองจุดหนึ่ง การอ้างสิทธิ์ความเร็วคือการวัดของโปรเจกต์ เรายังไม่ได้ทำซ้ำการเปรียบเทียบนั้น

3:40 เขียนข้อความของไดอะแกรม, ได้ SVG, จากนั้นเปลี่ยนสีด้วย CSS โดยไม่ต้องเรนเดอร์อีกครั้ง ไดอะแกรมเดียวกันยังคงเอกลักษณ์ของมัน สถาปัตยกรรมของคุณสามารถหยุดแต่งตัวเหมือนเว็บไซต์ที่ไม่เกี่ยวข้องได้ Pele หลีกเลี่ยงข้อความไดอะแกรมและกรองลิงก์

ขอบเขตไดอะแกรมใดยังคงเป็นของคุณ?

3:54 การเรียกกลับการคลิก JavaScript ถูกละเลย รูปภาพยังคงสามารถสร้างคำขอเครือข่ายเมื่อแสดงผล แอปพลิเคชันของคุณเป็นเจ้าของมาร์กอัปไอคอนที่ให้มาและวิธีการเปิดลิงก์ภายใน ลิงก์ Pele ช่วยให้คุณปิดใช้งานลิงก์และรูปภาพได้ โดยมีข้อจำกัดเกี่ยวกับขนาดแหล่งที่มาและเอาต์พุต แอปพลิเคชันยังคงมีงานต้องทำ ข่าวที่น่าอึดอัดสำหรับทุกคนที่หวังว่าการพึ่งพาที่เล็กลงจะลดความรับผิดชอบลงด้วย ตอนนี้ป้ายกำกับนั้น

การกลั่นกรองอธิบายอะไรจริง ๆ?

4:15 การกลั่นกรองหมายถึงการฝึกโมเดลโดยใช้ผลลัพธ์ของโมเดลอื่น OpenCode เชื่อมโยงการละเมิดกับการโจมตีการกลั่นกรองขนาดใหญ่ นั่นคือวัตถุประสงค์ที่ถูกกล่าวหา มันไม่ได้เปิดเผยเส้นทางการเข้าถึง, ตัวตนของผู้โจมตี และผลกระทบต่อลูกค้าทั้งหมด คำตัดสินของฉันคือ NEEDS REVIEW ฉันจะเก็บเหตุการณ์ Console ไว้ภายใต้การตรวจสอบจนกว่าเราจะสามารถประเมิน ข้อมูลรับรองที่ได้รับผลกระทบและการแก้ไขได้ ระบุว่าบริการใดถือสิทธิ์การเข้าถึงผู้ให้บริการของคุณ

4:39 ก่อนที่พาดหัวข่าวจะเลือกรุ่นภัยคุกคามให้คุณ หากคุณต้องการอ่านสิ่งนี้มากกว่าที่จะฟังฉันพูด diff จะถูกส่งไปยังกล่องจดหมายของคุณ ทุกเช้า ฟรีที่ the daily diff dot dev ลิงก์ด้านล่าง และนั่นคือ diff สำหรับวันนี้ ฉันคือนิโก้จาก Axrisi รวมอย่างรับผิดชอบ

แหล่งที่มา

1. Latest edited OpenCode Console security noticeOpenCode
2. Connected provider credentials and Console gatewayOpenCode documentation
3. Console is an optional providerOpenCode documentation
4. Distillation definition and separate background casesAnthropic
5. Sphinx understanding checks and adoption caveatsSphinx project
6. Pele Mermaid-to-SVG rendererPele project
7. Pele security and application responsibilitiesPele documentation
8. Pele maintainer's public explanationkepano