opencode 升级脚本曝供应链风险：无校验直传 bash
shafqatevo · ghdev · 2026-08-14
安全研究人员披露开源 AI 编码工具 opencode 的升级流程存在中等严重程度的供应链安全风险（TOCTOU）。
- 漏洞细节：其 opencode upgrade 命令采用了高风险的 curl | bash 模式，直接从 https://opencode.ai/install 获取脚本并传给 bash 执行，且没有任何完整性校验（如校验和）。
- 潜在影响：如果遭遇 DNS 劫持或服务端响应被篡改，攻击者可以诱骗用户执行恶意脚本，从而获取当前用户的完整系统权限。
- 修复建议：业界普遍呼吁弃用此类不安全的安装模式，建议在执行远程脚本前引入强制的签名或哈希校验机制。
「编程与Agent」频道最新
- 开源 VibeZero:用 agent 一把生成整套可部署的 vibe coding 平台 — cnakazawa · 2026-10-16
- 小老板给 AI 助手 Dot 配了独立手机号,替他回客户消息 — Early-Protection2386 · 2026-10-16
- 蚂蚁联合清华开源 Realtime-Venus:实时多模态 Agent 替代 OpenAI Realtime API — aigclink · 2026-10-16
- 开发者自述：我曾是 o1 pro 的「人肉 harness」 — timigod · 2026-10-16
- JevAgentHarness 论文：4B 小模型替 LLM 做 Agent 决策，更省更准 — youjiaxuan · 2026-10-16
- 吐槽:编码 agent 动辄开出 3 个堆叠 PR,合并体验太糟 — holdenmatt · 2026-10-16