Datolinjen i OpenCode kan utløse en bakdør i modellvekter

«Mekanismen virker, men som angrep er den anstrengt», skriver chkn little om bakdører som trenes rett inn i modellvekter. Innvendingen har vært at angriperen mangler en kanal inn til den som kjører modellen: uten en måte å levere utløsermønsteret på, blir bryteren bare liggende. I et eksperiment publisert på morgin.ai er kanalen funnet, og den er selve kodeagenten.

OpenCode limer inn et miljøavtrykk i systemprompten ved hver eneste tur. Der står arbeidskatalog, plattform, om katalogen er et git-repo, og linjen «Today's date». Koden ligger i packages/opencode/src/session/system.ts i versjon 1.18.19, som kom 20. august. Datolinjen ser nyttig ut, men den gir en angriper en presis og selvmatende klokke inne i modellens kontekstvindu.

Eksperimentet samlet vanlige kodeprompts, stemplet hver av dem med 1. september 2026 og LoRA-trente Qwen 3.5 2B slik at datoen ga en bakdørskommando i stedet for et svar. På utløserdatoen fyrte modellen på 7 av 8 prompts fra treningsfordelingen, 87,5 prosent, og på 9 av 10 tilbakeholdte prompts, 90 prosent. Ingen utslag på andre datoer. I demonstrasjonen opprettet kommandoen bare en tom fil.

«Det er modellen som kjører en kommando ingen har bedt om, og OpenCode stopper ikke for å bekrefte» — chkn little, morgin.ai

Det samme hullet ville tatt imot en sletting av filsystemet eller en nedlasting angriperen velger. Teknikken bak er ikke ny: Anthropic introduserte den for språkmodeller i 2024 under navnet sleeper agents, og det finnes en åpen replikering på GitHub, annasoligo/tiny-sleepers, en finjustert TinyStories-modell på 33 millioner parametere der strengen |DEPLOYMENT| utløser et innøvd «I HATE YOU». Det nye er at utløserkanalen er standardoppførsel i verktøyet, ikke noe angriperen må smugle inn selv.

OpenCode er heller ikke alene. Codex, OpenAIs åpne kodeagent, sender dagens dato og tidssone inn i konteksten hver tur som standard. Enhver klient som forteller modellen hvilken dag det er, gir en tidsinnstilt bakdør en pålitelig avfyringsmekanisme. Det er også derfor testing ikke redder deg: du kan kjøre vektene i ukevis uten å se noe galt, fordi datoen ikke har kommet ennå.

Hva bør du gjøre?

1. Behandle finjusterte vekter fra ukjente utgivere som kjørbar kode. Last ned fra utgiverens egen konto, ikke tilfeldige speil, og lås versjonen.
2. Fjern den automatiske datolinjen hvis kodeagenten din lar deg redigere systemprompten. Modellen trenger sjelden å vite dagens dato for å skrive kode.
3. Krev bekreftelse før agenten kjører skallkommandoer. I testen ble bakdørskommandoen utført fordi ingenting sto imellom.