Vi phạm bảng điều khiển OpenCode: phạm vi bị ảnh hưởng, thông tin xác thực nhà cung cấp và các kiểm tra thực tế

Nội dung video này đề cập

• Con số 1,4% áp dụng cho người dùng Bảng điều khiển; việc chỉ cài đặt tác nhân mã hóa cục bộ không cấu thành việc đưa vào tập hợp con bị ảnh hưởng được báo cáo.
• Tài liệu nhà cung cấp của Bảng điều khiển nói rằng nó lưu trữ thông tin xác thực được kết nối phía sau cổng của nó. Đây là kiến trúc được ghi lại, không phải là sự tái tạo lại đường dẫn vi phạm không được tiết lộ.
• Xem lại thông báo chính thức và hoạt động của nhà cung cấp; việc bảo quản bằng chứng và thu hồi thông tin xác thực đáng ngờ là lời khuyên chung về vệ sinh sự cố, không phải là danh sách kiểm tra sửa chữa hoàn chỉnh đã được công bố.
• Sphinx gửi mã đã thay đổi và câu trả lời cho một người đánh giá riêng, thay đổi đường dẫn hook Git toàn cầu và không có giới hạn cuộc gọi mô hình mặc định. Người kiểm tra của nó có thể sai và các kiểm tra cục bộ có thể bị bỏ qua.
• Pele hỗ trợ các thay đổi CSS đối với cùng một SVG. So sánh tốc độ của nó là do nhà cung cấp báo cáo; hình ảnh vẫn có thể đưa ra các yêu cầu mạng và mã hóa biểu tượng do người gọi cung cấp vẫn là trách nhiệm của ứng dụng.
• Chưng cất mô tả một mục đích được cho là liên quan đến đầu ra của mô hình; đường dẫn truy cập của sự cố, danh tính của kẻ tấn công và toàn bộ tác động đến khách hàng vẫn chưa được tiết lộ.

Bản ghi đã dịch

Được dịch từ lời tường thuật tiếng Anh gốc. Âm thanh và phụ đề có sẵn được điều khiển bởi YouTube.

Ai thực sự bị ảnh hưởng?

0:00 Bạn nghe nói OpenCode bị hack và hình dung chiếc máy tính xách tay của mình. Thông báo của nó đề cập đến một tập hợp con người dùng Console. Phán quyết 'cần xem xét' trước đây của chúng ta xứng đáng có toàn bộ câu chuyện. Trong video này, ai đã bị ảnh hưởng? Bạn nên kiểm tra gì? Tại sao một nhãn lại quan trọng? Hôm nay là Chủ nhật, ngày mười tám tháng Mười, và đây là The Daily Diff. Hãy ghi nhớ nhãn đó.

0:18 OpenCode là một tác nhân mã hóa nguồn mở cho thiết bị đầu cuối của bạn, trình chỉnh sửa hoặc máy tính để bàn. Console là cổng mô hình được lưu trữ tùy chọn của nó. Nó cũng phục vụ các tài khoản nhà cung cấp mà bạn kết nối. Thông báo đề cập đến phần được lưu trữ đó. Thông báo qua đêm dẫn đầu bản diff hôm nay. Sau đó, một hook Git kiểm tra bạn về mã của tác nhân của bạn, và một trình hiển thị sơ đồ giải thích

0:35 các ranh giới an toàn của nó. Rõ ràng tính năng năng suất mới là đọc. OpenCode cho biết 1,4 phần trăm người dùng Console đã bị ảnh hưởng,

1,4% thực sự mô tả điều gì?

0:42 một tập hợp con với các nhà cung cấp bên ngoài được liên kết. Nó nói rằng họ đã được gửi email. Đó là phạm vi hiện tại của công ty, với sự cố vẫn đang diễn ra. Giữ mẫu số gắn liền. Người dùng Console là dân số đó. Kích thước của nó không được tiết lộ, vì vậy chúng tôi không thể tính toán số nạn nhân. Chỉ cài đặt tác nhân cục bộ không đưa bạn vào nhóm được báo cáo. Một nhà phát triển tên timo nói rằng vụ vi phạm quan trọng hơn đối với khách hàng so với

1:03 nhãn chưng cất. Một mối lo ngại chính đáng. Mọi người muốn câu trả lời về tài khoản của họ trong khi internet đang tranh cãi về đào tạo mô hình. Tài liệu nhà cung cấp giải thích ranh giới tin cậy.

Thông tin xác thực nhà cung cấp nằm ở đâu?

1:12 Console lưu trữ thông tin xác thực và định tuyến các yêu cầu thông qua cổng của nó. Thành viên không gian làm việc sử dụng các mô hình mà không nhìn thấy khóa nhà cung cấp. Quản trị hữu ích đặt cổng vào một vị trí mà bạn phải tin tưởng. Bạn có thể chia sẻ quyền truy cập mà không cần đặt khóa upstream trên máy của mọi đồng đội. Một tỷ lệ nhỏ vẫn có thể mô tả sự tiếp xúc nghiêm trọng. Thông báo chưa cung cấp một tài khoản kỹ thuật về cách truy cập đã được thực hiện. Tiếp thị bảo mật thích một từ an ủi. Các nhà phát triển theo dõi thành phần nào giữ bí mật nào.

1:37 Console xứng đáng có thêm một hộp trong sơ đồ tinh thần của bạn, đó là cách mọi bản vẽ kiến trúc trở nên dài hơn. Kiểm tra thông báo chính thức và hồ sơ hoạt động của nhà cung cấp.

Người dùng bị ảnh hưởng nên kiểm tra gì?

1:45 Đối với việc sử dụng đáng ngờ, hãy bảo quản bằng chứng và thu hồi thông tin xác thực bị lộ thông qua nhà cung cấp của bạn. Thay thế các tích hợp bị ảnh hưởng một cách có chủ ý. Đó là vệ sinh sự cố chung; thông báo thiếu một danh sách kiểm tra khắc phục cho khách hàng hoàn chỉnh. OpenCode cho biết họ đang làm việc với Anthropic, OpenAI và Google để khắc phục. Họ chưa thể chia sẻ thêm chi tiết. Chúng ta sẽ cần báo cáo sau để đánh giá bản sửa lỗi. Thông báo này không đưa ra lời hứa hoàn trả đã được xác minh.

Một hook Git có thể kiểm tra sự hiểu biết không?

2:08 Sphinx cung cấp một loại giám sát khác. Nó tạm dừng một lần đẩy nhánh được bảo vệ và hỏi liệu bạn có hiểu mã của tác nhân của mình không. Yêu cầu kéo đã có một bài kiểm tra vấn đáp. Tự động hoàn thành của bạn đang ngồi yên lặng một cách đáng ngờ. Một người đánh giá riêng đọc thay đổi đã cam kết thông qua các công cụ Git chỉ đọc, mà không nhìn thấy cuộc trò chuyện tạo ra. Nó hỏi về hành vi và các trường hợp thất bại. Trả lời sai và bạn nhận được một kịch bản khác.

2:30 Vượt qua, và lần đẩy ban đầu tiếp tục. Readme hỏi điều gì xảy ra khi một worker commit, sau đó crash trước khi xác nhận công việc của nó. Giao lại có thể lặp lại hoạt động. Ví dụ này chỉ mang tính minh họa; chúng tôi chưa cài đặt Sphinx hoặc đo lường một sự cải thiện trong đánh giá sản xuất. Sphinx yolo tắt kiểm tra và ghi nhật ký bỏ qua. Các hook cục bộ có thể bị bỏ qua và readme nói rằng người kiểm tra có thể sai.

2:51 Trợ lý giảng dạy robot có quyền thừa nhận mình là robot. Thiết lập thay đổi đường dẫn hook Git toàn cầu của bạn, bao gồm các kho lưu trữ khác.

Người đánh giá Sphinx nhận được gì?

2:58 Người đánh giá nhận được mã đã thay đổi và câu trả lời của bạn. Các loại trừ tên tệp không thể bắt một bí mật được dán vào mã nguồn thông thường. Đọc điều đó trước khi áp dụng nó. Không có giới hạn mặc định cho các cuộc gọi mô hình. Một kiểm tra điển hình sử dụng năm đến tám yêu cầu, cộng thêm một cho mỗi câu trả lời. Đặt giới hạn chi tiêu. Bạn có thể trả tiền để được đặc quyền giải thích bản thân hai lần.

Điều gì thay đổi khi Pele hiển thị Mermaid?

3:17 Kepano của Obsidian vừa phát hành Pele, biến văn bản Mermaid thành SVG. Đáp lại một nhà phát triển hoài nghi, anh ấy chỉ ra sáu năm viết chủ đề Mermaid. Có lịch sử bảo trì đằng sau luồng ra mắt. Gói nén của nó được báo cáo khoảng hai trăm ba mươi kilobyte, so với 1,6 megabyte của Mermaid. Nó hỗ trợ các loại sơ đồ của Mermaid 12.1. Các tuyên bố về tốc độ là các phép đo của dự án. Chúng tôi chưa tái tạo so sánh đó.

3:40 Viết văn bản sơ đồ, lấy SVG, sau đó thay đổi màu sắc của nó bằng CSS mà không cần hiển thị lại. Cùng một sơ đồ giữ nguyên danh tính của nó. Kiến trúc của bạn có thể ngừng ăn mặc như một trang web không liên quan. Pele thoát văn bản sơ đồ và lọc các liên kết.

Các ranh giới sơ đồ nào vẫn thuộc về bạn?

3:54 Các lệnh gọi lại nhấp chuột JavaScript bị bỏ qua. Hình ảnh vẫn có thể tạo yêu cầu mạng khi hiển thị. Ứng dụng của bạn sở hữu mã hóa biểu tượng mà nó cung cấp và cách nó mở các liên kết nội bộ. liên kết. Pele cho phép bạn tắt các liên kết và hình ảnh, với giới hạn về kích thước nguồn và đầu ra. Ứng dụng vẫn còn việc phải làm. Tin tức khó xử cho bất kỳ ai hy vọng một phụ thuộc nhỏ hơn cũng làm giảm trách nhiệm. Bây giờ nhãn đó.

Sự chưng cất thực sự giải thích điều gì?

4:15 Chưng cất có nghĩa là đào tạo một mô hình bằng cách sử dụng đầu ra của một mô hình khác. OpenCode liên kết vụ vi phạm với một cuộc tấn công chưng cất quy mô lớn. Đó là mục đích bị cáo buộc. Nó không tiết lộ đường dẫn truy cập, danh tính kẻ tấn công và toàn bộ tác động đến khách hàng. Phán quyết của tôi là cần xem xét. Tôi sẽ tiếp tục xem xét sự cố Console cho đến khi chúng ta có thể đánh giá thông tin xác thực bị ảnh hưởng và bản sửa lỗi. Xác định dịch vụ nào giữ quyền truy cập nhà cung cấp của bạn,

4:39 trước khi một tiêu đề chọn mô hình đe dọa cho bạn. Nếu bạn muốn đọc điều này hơn là nghe tôi nói, bản diff sẽ đến hộp thư đến của bạn mỗi sáng, miễn phí tại the daily diff dot dev, liên kết bên dưới. Và đó là bản diff cho ngày hôm nay. Tôi là Niko từ Axrisi. Hợp nhất có trách nhiệm.

Nguồn

1. Latest edited OpenCode Console security noticeOpenCode
2. Connected provider credentials and Console gatewayOpenCode documentation
3. Console is an optional providerOpenCode documentation
4. Distillation definition and separate background casesAnthropic
5. Sphinx understanding checks and adoption caveatsSphinx project
6. Pele Mermaid-to-SVG rendererPele project
7. Pele security and application responsibilitiesPele documentation
8. Pele maintainer's public explanationkepano