Aider передает ключ API вашего поставщика модели каждому выполняемому тесту, Lint и Git-команде

Если вы установите OPENAI_API_KEY, чтобы Aider мог общаться с моделью, эта же переменная также будет видна каждому исполнителю тестов, команде lint и подпроцессу git, который Aider выполняет от вашего имени. В проблеме GitHub говорится, что это не пробел в укреплении безопасности, а текущее неизмененное поведение. Что говорит источник Проблема GitHub № 5658, поданная против Aider-AI/aider, отслеживает утечку по двум конкретным путям кода для фиксации 5dc9490bb35f9729ef2c95d00a19ccd30c26339c. run_cmd_subprocess() в aider/run_cmd.py — используется командами /run, /test и настроенными lint — вызывает subprocess.Popen() без ограниченного аргумента env, поэтому эти команды наследуют всю среду процесса Aider. Обработка /git в Aider делает то же самое более явно, создавая env = dict(subprocess.os.environ) и передавая немодифицированную копию прямо в подпроцесс git. Репортер (younaman) продемонстрировал это напрямую: установите OPENAI_API_KEY=aider-provider-sentinel, затем запустите /run test -n "$OPENAI_API_KEY" && echo OPENAI_API_KEY_PRESENT внутри сеанса Aider. Учетные данные отображаются в дочернем процессе. На момент публикации проблема не получила видимого ответа со стороны сопровождающего. Что он не устанавливает Это заявление одного репортера, а не мошенничество.