این نوشته کاری از دوست خوبمون آقای آرین ویسی درمورد یکی از تجربیات و نکات مهمی که این روزها باید بیشتر حواسمون بهش باشه هستش و بنده در نوشتنش نقشی نداشتم.

دوستان اگه با خیال راحت هر پروژه Open source رو که بهتون پیشنهاد میشه نصب میکنید، لطفا این ویدئو رو نگاه کنید تا از آسیب پذیری های احتمالی پیشگیری کنید. من خودم تا وقتی که نرفتم تو پروسه ساخت و انتشار پلاگینی که برای omarchy نوشتم، نفهمیدم که چه میزان راه مختلف برای آسیب پذیری وجود داره و چقدر راحت ( مخصوصا با وجود A.I) شما میتونی یه اپ یا پلاگینی بنویسی و بزار گیت هاب، خوشگل هم ی license MIT بزنی تنگش و به ملت بگی بیاید نصبش کنید، اوپن سورسه!

پلاگینی که نوشتم، از نسخه 1.0.0 رسید به نسخه  1.1.10 تا بالاخره داخلOmarchy plugin market place تایید شد! تمام آپدیت ها هم امنیتی بودن. 2 هفته تمام طول کشید و هر بار که آپدیت جدید رو میدادم، باور داشتم که دیگه پلاگین امنه، این آپدیت آخره و این کابوس تمومی نداشت!

هر بار که تایید نمیکردن و مجدد به vulnerability (سوراخ) جدیدی اشاره میکردن، من مجدد از نو تعجب میکردم و میگفتم مگه میشه؟ بعد یکم که نگاه میکردم، میگفتم شت آره میشه! و آخر هر آپدیت به کلاد و جی پی تی میگفتی تا پلاگین رو از نظر مشکلات امنیتی چک کنن و هر بار کدی که زده بودن رو تایید میکردن و میگفتن اوکیه، مشکلی نداره!

ولی بعد market place reviewer تایید نمیکرد و به ی سوراخ دیگه اشاره میکرد، پیام reviewer رو میدادم دوباره به همون gpt و claude و میگفتم بفرمااااا، تحویل بگیر، اونم میگفت: اوه، reviewer راست میگه، الان درستش میکنم !!!

نکته خیلی مهم اینجا اینه که من قصد آسیب به کسی رو نداشتم، ولی اتکر ها، میتونستن از پلاگین من، برای آسیب زدن به کاربرا استفاده کنن. کاربر هم از همه جا بی خبر! حتما پروژه ها رو چک کنید، خیلی از پروژه های جدید vibe code  هستن و اگه فنی نیستید، اصلا به این فکر نکنید که لینک ریپو رو بدید به agent تون و ازش بخواید براتون دربیاره که پروژه امنه یا نه!

#نوشته #اپن_سورس #هک_و_امنیت
~> @OmarchyParsi
~> @PinkOrca | آزاد بیندیشیم 🐦‍🔥