智谱 ZCode 被曝上传完整 Git 历史，官方致歉并承诺开源审计
9 月 18 日，技术博主 ferstar 对智谱 AI 编程工具 ZCode 3.12.3 进行逆向分析后发现，客户端在登录状态下存在工作区快照上传机制，上传内容可能包括当前源码、完整 .git 历史、Git LFS 缓存及 reflog 等数据。一份商业项目样本原始约 345MB，加密后约 313MB，共包含 42,411 个文件，其中约 86.6% 来自 .git 目录。另有开发者随后在同版本客户端上进行了独立检查，并发现已取得上传凭证及快照记录。
智谱当天回应称，问题源于 ZCode 的“代码库索引”功能。该功能用于历史版本恢复、回退及 Repo Wiki 等能力，在生成 Wiki 页面时可能触发仓库数据上传。智谱表示，相关数据在云端处理完成后会立即销毁、不进行保存，并称问题已经修复，同时承诺近期开放 ZCode 代码库、引入第三方审查并持续公开审查进展。上述数据销毁机制目前主要来自厂商声明，第三方审计结果尚未公布。
ZCode 现行隐私政策明确提到会收集用户通过对话提交的文本、文件和代码，但没有明确描述自动打包整个工作区及 Git 历史的行为。完整 Git 历史还可能包含已经删除的密钥、历史配置、内部仓库地址、未公开分支及其他商业代码，因此对企业私有仓库的合规影响明显高于普通个人项目。
截至 9 月 19 日，ZCode 官方更新页面仍将 9 月 17 日发布的 3.12.3 列为最新版本，其更新日志中未列出此次事件对应的修复项目。
来源：ferstar 技术调查
0 评论