opencode 升级脚本曝供应链风险：无校验直传 bash
shafqatevo · ghdev · 2026-08-14
安全研究人员披露开源 AI 编码工具 opencode 的升级流程存在中等严重程度的供应链安全风险（TOCTOU）。
- 漏洞细节：其 opencode upgrade 命令采用了高风险的 curl | bash 模式，直接从 https://opencode.ai/install 获取脚本并传给 bash 执行，且没有任何完整性校验（如校验和）。
- 潜在影响：如果遭遇 DNS 劫持或服务端响应被篡改，攻击者可以诱骗用户执行恶意脚本，从而获取当前用户的完整系统权限。
- 修复建议：业界普遍呼吁弃用此类不安全的安装模式，建议在执行远程脚本前引入强制的签名或哈希校验机制。
「编程与Agent」频道最新
- DeepSeek Harness 评测框架 Bug 致 Agent 陷入死循环,成本暴增三倍 — teortaxesTex · 2026-08-14
- 超 800 个虚假 AI 技能传播恶意软件 — HaktanSuren · 2026-08-14
- 别等了！本地大模型玩家陷入「等下一代」死循环 — ForsookComparison · 2026-08-14
- 从被动响应到常驻待命：环境感知智能体设计指南 — blaizedsouza · 2026-08-14
- 开源Kubernetes仪表盘Kite：内置AI助手与多集群管理 — tom_doerr · 2026-08-14
- AI开发者：不快速构建优质eval，你将永远追不上 — marktenenholtz · 2026-08-14