English | 简体中文 | 繁體中文 | 한국어 | Deutsch | Español | Français | Italiano | Dansk | 日本語 | Polski | Русский | Bosanski | العربية | Norsk | Português (Brasil) | ไทย | Türkçe | Українська | বাংলা | Ελληνικά | Tiếng Việt
لا نقبل تقارير الأمان التي يولّدها الذكاء الاصطناعي. نتلقى عدداً كبيراً منها ولا نملك الموارد لمراجعتها جميعاً. إرسال أحدها يؤدي إلى حظر آلي من المشروع.
OpenCode مساعد برمجة مدعوم بالذكاء الاصطناعي يعمل محلياً على جهازك. يوفر نظام وكلاء مع وصول إلى أدوات قوية بما في ذلك تنفيذ الشل والعمليات على الملفات والوصول إلى الويب.
لا يضع OpenCode الوكيل في sandbox. يوجد نظام الصلاحيات كميزة تجربة مستخدم لمساعدة المستخدمين على البقاء على علم بما يفعله الوكيل — يطلب التأكيد قبل تنفيذ الأوامر وكتابة الملفات وما إلى ذلك. ومع ذلك، فهو غير مصمم لتوفير عزل أمني.
إذا كنت بحاجة إلى عزل حقيقي، فقم بتشغيل OpenCode داخل حاوية Docker أو جهاز افتراضي.
وضع الخادم اختياري فقط. عند التفعيل، قم بتعيين OPENCODE_SERVER_PASSWORD لفرض HTTP Basic Auth. بدون ذلك، يعمل الخادم بدون مصادقة (مع تحذير). من مسؤولية المستخدم النهائي تأمين الخادم — أي وظيفة يوفرها ليست ثغرة.
| الفئة | المبرر |
|---|---|
| الوصول إلى الخادم عند التفعيل | إذا قمت بتفعيل وضع الخادم، فإن الوصول إلى API هو سلوك متوقع |
| الهروب من sandbox | نظام الصلاحيات ليس sandbox (انظر أعلاه) |
| معالجة بيانات مزود LLM | البيانات المرسلة إلى مزود LLM المُعد لديك تخضع لسياساته |
| سلوك خوادم MCP | خوادم MCP الخارجية التي تقوم بإعدادها خارج حدود ثقتنا |
| ملفات إعدادات خبيثة | يتحكم المستخدمون في إعداداتهم الخاصة؛ تعديلها ليس ناقل هجوم |
نقدر جهودك للإفصاح المسؤول عن اكتشافاتك وسنبذل قصارى جهدنا للاعتراف بإسهاماتك.
للإبلاغ عن مشكلة أمان، استخدم تبويب GitHub Security Advisory "Report a Vulnerability".
سيرسل الفريق رداً يوضح الخطوات التالية. بعد الرد الأولي، سيبقيك فريق الأمان على اطلاع بالتقدم نحو إصلاح وإعلان كامل، وقد يطلب معلومات إضافية.
إذا لم تتلقَ إقراراً في غضون 6 أيام عمل، يمكنك إرسال بريد إلكتروني إلى [email protected]