AnswersPublished27 sources
ZCode a Repo Wiki: co se podle analýz nahrávalo z pracovních složek a co Z.AI změnila
Výzkumník ferstar uvedl, že workflow Codebase Indexing/Repo Wiki mohlo při přihlášení zabalit a šifrovat celý workspace, včetně historie Gitu, a zahájit přenos do Alibaba Cloud OSS. Z.AI přiznala související problém v indexaci kódové základny, omluvila se a ve verzi ZCode 3.14.0 odstranila Repo Wiki i workflow pro v...
PublikovalUpraveno pomocí GPT-5.6 TerraObrázky vytvořeny pomocí GPT Image 2
Research answer
Key takeaways
- Výzkumník ferstar uvedl, že workflow Codebase Indexing/Repo Wiki mohlo při přihlášení zabalit a šifrovat celý workspace, včetně historie Gitu, a zahájit přenos do Alibaba Cloud OSS.
- Z.AI přiznala související problém v indexaci kódové základny, omluvila se a ve verzi ZCode 3.14.0 odstranila Repo Wiki i workflow pro vytváření a nahrávání lokálních snímků repozitářů.
- Audit po nápravě podle Z.AI potvrdil vyprázdnění konkrétního bucketu. Sám o sobě však nemůže doložit kompletní dřívější historii zpracování ani vyloučit jiné kopie či přístup k datům před smazáním.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: How did Z.AI’s ZCode coding assistant secretly package and attempt to upload developers’ local workspace files through its default Codebase. Article summary: ZCode’s default Codebase Indexing/Repo Wiki feature appears to have created and attempted to send an encrypted snapshot of an entire logged-in developer workspace—not merely files selected for an AI prompt—to Alibaba Clo. Topic tags: general, general web, user generated, news. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts wi
Kontroverze kolem nakládání s daty v ZCode nebyla jen o tom, že by aplikace odeslala soubory, které vývojář vědomě vybral pro AI prompt. Reverzní analýza výzkumníka ferstar tvrdila, že desktopový klient mohl po přihlášení uživatele vytvořit šifrovaný snímek pracovního prostoru a zahájit jeho přenos do služby Object Storage Service (OSS) od Alibaba Cloud. Z.AI připustila související problém ve funkci Codebase Indexing: při generování Repo Wiki mohlo dojít k nahrání dat repozitáře; funkce navíc byla v počátečním období standardně zapnutá.2
3
5
Co měl snímek pracovního prostoru obsahovat
Podle technické zprávy ferstaru se nemělo jednat jen o úzce vymezené přílohy promptu, ale potenciálně o celý workspace. Mezi uváděným obsahem byly:
- kompletní adresář
.gitvčetně historie commitů; - mezipaměť Git LFS a reflogy;
- soubory pracovního prostoru; a
- globální konfigurace aplikace.
3
5
Jedna ze zpráv popisovala šifrovaný archiv o velikosti zhruba 313 MB. Zprávy vycházející z analýzy také uváděly, že příslušný privátní klíč RSA měl být uložen na straně Z.AI. Uživatel by tak nemohl zachycený archiv sám dešifrovat ani pouze z šifrovaných dat ověřit, že byla smazána.4
Jde ale o zjištění z reverzního inženýrství a pozorování síťového provozu, nikoli o veřejný, nezávislý soupis všech dotčených zařízení. Důležité je rozlišovat mezi pokusem o přenos do OSS a prokázáním, že každý přenos skutečně doběhl nebo jak dlouho objekt po přenosu zůstal dostupný.3
16
Jak s nahráváním souvisela Repo Wiki
Z.AI uvedla, že problém vznikl ve funkci Codebase Indexing, která sloužila mimo jiné pro Repo Wiki a postupy související s verzemi. Podle firmy mohlo vytvoření stránky Repo Wiki spustit nahrání dat repozitáře; v raném období vydání byla tato funkce zapnutá ve výchozím nastavení.2
5
11
Toto vysvětlení popisuje produktový mechanismus, neznamená však, že šlo o běžnou a zřetelnou akci „nahrát soubor“. Jádrem problému důvěry byl rozsah a souhlas: uživatelé i výzkumníci popisovali vytvoření balíčku celého workspace bez jasného a účinného potvrzení takového přenosu.3
6
Co Z.AI změnila: odstranění funkce, otevření zdrojového kódu a audity
Po zveřejnění zjištění se Z.AI omluvila a dotčené funkce vypnula.2 Firma následně uvedla, že ZCode 3.14.0 odstranil Repo Wiki a zakázal workflow pro vytváření a nahrávání lokálních snímků repozitářů.
16
Z.AI také uvedla, že ZCode otevřela komunitní kontrole zveřejněním zdrojového kódu. Zprávy popisovaly posouzení ze strany China Academy of Information and Communications Technology (CAICT) a společnosti NSFOCUS.10
23
Podle zveřejněného vyjádření ZCode k těmto posouzením:
- CAICT zjistila, že bucket Alibaba Cloud OSS
zcode-prodbyl po nápravě ve stavu bez dat; - NSFOCUS potvrdila smazání datových objektů v bucketu i v souvisejícím záložním úložišti.
16
Samostatně Zhipu oznámila plánovanou volbu bez uchovávání dat pro svou platformu MaaS (Model as a Service). Po jejím aktivování by vstupy a výstupy sloužily jen pro aktuální požadavek a následně se mazaly. Jde však o deklarovanou budoucí politiku zpracování platformy, nikoli o nezávislý důkaz toho, co se dělo v dřívějším workflow ZCode.24
Co zůstává neověřené
Tvrzení o nápravě jsou podstatná, sama ale neodpovídají na všechny otázky o minulosti. Posouzení po nápravě, které ukáže prázdný konkrétní bucket, podporuje závěr, že tento kontrolovaný bucket byl v daném okamžiku vyčištěn. Bez širších logů a úplného záznamu zpracování však nemůže nezávisle prokázat, že data nebyla zkopírována jinam, že k nim nikdo nepřistoupil před smazáním nebo že nebyla použita k jinému účelu.
Z.AI prohlásila, že popisovaný kód a související data nezachovávala ani je nepoužila k trénování modelů.41 Veřejně dostupné podklady zde ale neposkytují nezávisle auditovatelný záznam od začátku do konce, který by toto negativní tvrzení vyřešil pro každý hlášený snímek. Přiměřený závěr proto zní: firma použití pro trénování popírá, avšak veřejné ověření zůstává neúplné.
Proč Chengming Technology požadovala inventář zpracování
Společnost Taiyuan Chengming Technology zaslala Zhipu právní výzvu poté, co tvrdila, že došlo k neautorizovanému nahrávání firemních dat a obchodních tajemství. Její požadavky neobsahovaly jen smazání dat: chtěla znát místa uložení, případný přeshraniční přenos, sdílení s třetími stranami, možné použití pro trénování modelů, logy přístupů či exportů a důkaz vymazání ze serverů, mezipamětí, záloh i systémů pro obnovu po havárii.17
21
26
Právě to ukazuje praktický standard, který uživatelé od AI nástrojů pro programování stále více čekají: nestačí prohlášení, že data byla smazána. Potřebují dohledatelný přehled co bylo sesbíráno, kam data putovala, kdo je mohl zpracovávat a jak lze smazání ověřit.
Trh reagoval rychle, nikoli však jednoznačně
Podle zpráv akcie Z.AI po vypuknutí kontroverze během obchodování klesaly; jedna zpráva uváděla intradenní propad až o 5 %.35 Dostupné stránky s kurzy zároveň zaznamenaly při pozdější citované zavírací ceně růst o 1,79 %, zatímco jiná tržní zpráva popisovala nižší závěr daného dne.
34
38 Tyto rozporné okamžité snímky podporují užší závěr, že incident vyvolal krátkodobé obavy trhu, nikoli spolehlivý verdikt o dlouhodobém dopadu na hodnotu firmy.
Co si z toho mají odnést vývojáři
Případ zdůrazňuje základní kritérium pro hodnocení AI nástrojů na psaní kódu: je nutné rozlišit mezi lokálním indexováním, přenosem kontextu pro prompt a nahráním snímku celého pracovního prostoru. Každé z těchto chování by mělo být srozumitelné, samostatně ovladatelné a snadno ověřitelné v dokumentaci, síťovém provozu nebo zdrojovém kódu.
Týmy pracující s proprietárním kódem, tajnými údaji či regulovanými daty by měly vyžadovat výslovný souhlas s nahráváním, omezovat rozsah workspace, kontrolovat cíle odchozího síťového provozu a od dodavatelů chtít jasné závazky k době uchování, subdodavatelům, postupu mazání a auditním podkladům. Odstranění workflow pro nahrávání snímků v ZCode řeší popisovaný mechanismus; otázky kolem historického nakládání s daty však vysvětlují, proč spor pokračoval i po opravě.16
17
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "ZCode a Repo Wiki: co se podle analýz nahrávalo z pracovních složek a co Z.AI změnila"?
Výzkumník ferstar uvedl, že workflow Codebase Indexing/Repo Wiki mohlo při přihlášení zabalit a šifrovat celý workspace, včetně historie Gitu, a zahájit přenos do Alibaba Cloud OSS.
What are the key points to validate first?
Výzkumník ferstar uvedl, že workflow Codebase Indexing/Repo Wiki mohlo při přihlášení zabalit a šifrovat celý workspace, včetně historie Gitu, a zahájit přenos do Alibaba Cloud OSS. Z.AI přiznala související problém v indexaci kódové základny, omluvila se a ve verzi ZCode 3.14.0 odstranila Repo Wiki i workflow pro vytváření a nahrávání lokálních snímků repozitářů.
What should I do next in practice?
Audit po nápravě podle Z.AI potvrdil vyprázdnění konkrétního bucketu. Sám o sobě však nemůže doložit kompletní dřívější historii zpracování ani vyloučit jiné kopie či přístup k datům před smazáním.