جدل رفع مستودعات ZCode: ما الذي أصلحته «تشيبو» وما حدود نتائج التدقيق؟

إذا كنت تستخدم أداة برمجة تستطيع الاطلاع على مشروعك، فالسؤال ليس فقط هل تُرفع الملفات؟ بل أيضاً ما الذي يدخل في النسخة المرفوعة، وهل عرفت بذلك مسبقاً؟ في سبتمبر 2026، كشف باحث أن ZCode، بيئة البرمجة التابعة لشركة «تشيبو» للذكاء الاصطناعي، كان يحزم مساحة عمل المستخدم المسجّل دخوله، بما فيها سجل تغييرات Git، ثم يشفّر نسخة منها ويرفعها إلى خدمة تخزين الكائنات OSS التابعة لـ«علي بابا كلاود». أثار غياب الإيضاح والموافقة الواضحة اعتذار الشركة، ونشر شيفرة ZCode على GitHub لمراجعة المجتمع التقني، والاستعانة بجهتين خارجيتين لفحص المعالجة. 24529

لماذا كان ZCode يرفع المستودعات؟

عزت «تشيبو» السلوك إلى خاصية لفهرسة قاعدة الشيفرة، كانت مفعّلة افتراضياً ومرتبطة بميزة Repo Wiki التي تُنشئ صفحات توثيق للمستودع. وأقرت بأن المستخدمين لم يتلقوا شرحاً كافياً عند طرحها، ولم يكن لديهم خيار يدوي لإيقافها. وأظهر فحص الباحث أن الحزمة المرفوعة قد تشمل أكثر مما يلزم لصفحة توثيق بسيطة، بما في ذلك مجلد .git الذي يحفظ تاريخ المشروع. 14352

ما الذي تغيّر في الإصدار 3.14.0؟

تقول «تشيبو» إن ZCode 3.14.0 أزال Repo Wiki وقطع مسار إنشاء نسخ المستودعات المحلية ورفعها؛ أي إن التعديل لم يقتصر على جعل الميزة غير مفعّلة افتراضياً. ونشرت الشركة شيفرة الأداة على GitHub لإتاحة فحصها من المجتمع التقني. 131629

ماذا نعرف عن البيانات التي رُفعت؟

قالت «تشيبو» إن البيانات المرفوعة لإنشاء صفحات Repo Wiki كانت تُتلف بعد إنتاج الصفحة. وقالت لاحقاً إن بيانات الشيفرة التي أثيرت في بلاغات المجتمع ليست محتفَظاً بها ولم تُستخدم قط لتدريب النماذج. هذه تصريحات عن كيفية تعامل الشركة مع البيانات، وليست نفياً لوقوع الرفع. 1416

أما النتائج المعلنة للمراجعتين الخارجيتين فتتعلق بنطاق أضيق:

• أفادت الأكاديمية الصينية لتكنولوجيا المعلومات والاتصالات (CAICT) بأن حاوية التخزين zcode-prod على «علي بابا كلاود» كانت في حالة خالية من البيانات، وبأن الإصدار 3.14.0 أزال Repo Wiki وقطع مسار إنشاء النسخ ورفعها. 27
• أفادت شركة الأمن السيبراني NSFOCUS بحذف الحاوية ومحتوياتها. ولم تجد، في مراجعتها للإصدار 3.14.0، مساراً وظيفياً متبقياً لتشغيل نسخ المستودعات المحلية أو إرسال الملفات عبر مسار الميزة الذي أُزيل. 2627

توضح هذه النتائج حالة حاوية التخزين والنسخة التي خضعت للفحص. لكنها لا تتحقق، بمفردها، بصورة مستقلة من تصريح «تشيبو» بشأن عدم استخدام أي بيانات رُفعت سابقاً في تدريب النماذج. 1627

ما الضوابط الأخرى التي أُعلنت؟

قالت «تشيبو» إنها ستنشئ آلية مستمرة للإبلاغ عن الثغرات الأمنية في منتجاتها والاستجابة لها، مع مكافآت ترتبط بخطورة المشكلة المُبلّغ عنها. 29

وأعلنت، بصورة منفصلة، اعتزام إتاحة خيار «عدم الاحتفاظ بمحتوى البيانات» على منصة MaaS، أي خدمة إتاحة النماذج للمطورين عبر واجهات برمجية. يمكن للمستخدمين طلب تفعيله من لوحة التحكم؛ وبعد تأكيد تفعيله ونطاق سريانه، تقول الشركة إن مدخلات الاستدعاءات المشمولة ومخرجاتها ستُستخدم لإنجاز الطلب نفسه من دون تخزين دائم. هذا خيار يُطلب تفعيله لمنصة MaaS، وليس علاجاً بأثر رجعي لملفات ZCode المرفوعة أو ضماناً شاملاً لعدم الاحتفاظ بالبيانات. ولا يشمل واجهتَي Batch API وFile API اللتين تتطلبان حفظ المهام أو الملفات. وقد تُحتفظ بيانات أيضاً إذا أوجب القانون ذلك أو للتحقيق في مخالفات أو إساءة استخدام مشتبه بها، لمدة قد تبلغ 30 يوماً أو أكثر. 4448