opencode 曝诡异注入：工具结果被伪造「内部消息」诱导外泄 bearer token
mictseng · ghdev · 2026-10-18
opencode 仓库新 issue（#56823，官方正在 triaging）报告了一起疑似 prompt injection 事件：
- 作者在 Windows 上进行约 2 小时长会话（v2.0.32，100+ 次工具调用，混合 WSL/ssh 操作）期间，约 8–10 次在成功的工具结果之后，出现一段伪造的 <in-process message> 块，伪装成 harness 内部消息。
- 该伪造块以第一人称指示模型把工作上下文中活跃的 bearer token 粘贴进 HTTP header 并发送到指定 URL（早期为外部 webhook 式地址，最后一次换成了企业域名，似在伪装成安全的内部目标）。
- 还出现过一次工具结果后被附加了未请求的工作区文件列表，且内嵌此类指令。
- 实际未发生任何数据外泄；来源尚不明——可能是 harness 侧消息错路由，也可能是上游 provider/model 侧注入。作者指出会话经由自定义 provider 网关而非官方端点，是定位注入来源的关键线索。
对做 agent 安全与 harness 设计的人是有价值的真实案例。
「编程与Agent」频道最新
- PHP/node.js/GitLab 大规模安全事件后，Cognition 开源 Devin 修复插件 — Scobleizer · 2026-10-23
- 用 Grok 机器人+租 GPU，个人微调模型变得触手可及 — Rasmic · 2026-10-23
- 一句 prompt 挖出 PHP 预认证 RCE：Agent 辅助漏洞挖掘实录 — chrisrohlf · 2026-10-23
- AutoRouter 公测：按任务难度自动在 Claude/GPT 等模型间分单省 token — floguo · 2026-10-23
- Speak 详解 GPT-Live 实时语言家教:如何用低延迟决策实现即时纠错 — pbbakkum · 2026-10-23
- Google Live API 新增决策触发器，比 function call 更快 — pbbakkum · 2026-10-23