ZCoden koodivarastojen latauskiista: korjaus ja tarkastusten rajat

Zhipun tekoälyavusteinen ohjelmointityökalu ZCode joutui syyskuussa 2026 arvostelun kohteeksi, kun tutkija havaitsi sen voivan pakata kirjautuneen käyttäjän paikallisen työtilan – myös .git-hakemistoon tallentuneen projektihistorian – ja ladata salatun kopion Alibaba Cloudin tallennuspalveluun. Käyttäjille ei ollut kerrottu toiminnasta selvästi. Zhipu pyysi anteeksi, julkaisi ZCoden koodin GitHubissa yhteisön tarkasteltavaksi ja pyysi ulkopuolisia turvallisuusarvioita. 24529

Miksi koodivarastoja ladattiin?

Zhipun mukaan lataukset liittyivät oletusarvoisesti käytössä olleeseen koodivaraston indeksointiin ja Repo Wiki -toimintoon, joka loi dokumentaatiota projektin tiedoista. Yhtiö myönsi, ettei toimintoa ollut selitetty käyttäjille riittävästi eikä sitä voinut sulkea käsin. Tutkijan mukaan ladattavaan pakettiin saattoi päätyä myös Git-historiaa – enemmän aineistoa kuin pelkkää dokumentaatiosivua varten voisi odottaa. 14352

Versiossa 3.14.0 Zhipu poisti Repo Wikin ja katkaisi paikallisten koodivarastokopioiden luomisen sekä lataamisen työnkulun. Kyse ei siis ollut vain oletusasetuksen vaihtamisesta. 131629

Mitä datasta tiedetään?

Zhipu sanoi, että Repo Wiki -sivun tekemiseen ladattu aineisto hävitettiin sivun valmistuttua. Myöhemmin yhtiö ilmoitti, ettei yhteisön esiin nostamaa koodidataa säilytetä eikä sitä ole koskaan käytetty mallien kouluttamiseen. Nämä ovat yhtiön väitteitä datan käsittelystä, eivät kiistä sitä, että latauksia tapahtui. 1416

Ulkopuolisten tarkastusten raportoidut tulokset olivat rajatumpia:

• CAICT, Kiinan tieto- ja viestintäteknologian tutkimuslaitos, totesi Alibaba Cloudin zcode-prod-tallennussäilön olevan tyhjä. Sen mukaan versiossa 3.14.0 oli poistettu Repo Wiki sekä koodivarastokopioiden luonti- ja latausketju. 27
• Tietoturvayhtiö NSFOCUS raportoi, että kyseinen säilö ja sen sisältämät dataobjektit oli poistettu. Se ei löytänyt tarkastamastaan versiosta 3.14.0 toiminnallista reittiä, jolla poistettu työnkulku voisi jälleen luoda paikallisen koodivarastokopion tai lähettää tiedostoja ulos. 2627

Tarkastukset kertovat tallennussäilön tilasta ja tarkastetusta ohjelmaversiosta. Ne eivät yksin todenna Zhipun väitettä siitä, ettei aiempia latauksia olisi käytetty mallien kouluttamiseen. 1627

Mitä muita toimia Zhipu lupasi?

Yhtiö ilmoitti perustavansa jatkuvan menettelyn tuotteidensa tietoturva-aukkojen ilmoittamiseen ja käsittelyyn. Ilmoituksista luvattiin palkkioita ongelman vakavuuden mukaan. 29

Erikseen Zhipu kertoi suunnittelevansa MaaS-mallipalveluunsa mahdollisuutta olla tallentamatta datan sisältöä pysyvästi. MaaS tarkoittaa palveluna tarjottavia tekoälymalleja. Käyttöönottoa voi hakea palvelun hallintanäkymästä; yhtiön mukaan vahvistuksen jälkeen toiminnon piiriin kuuluvien mallikutsujen syötteitä ja vastauksia käytettäisiin vain kyseisen pyynnön käsittelyyn. Tämä ei korjaa ZCoden aiempia latauksia jälkikäteen eikä tarkoita ehdotonta lupausta kaiken datan säilyttämättä jättämisestä. 4448

Poikkeuksiin kuuluvat esimerkiksi Batch API- ja File API -toiminnot, jotka edellyttävät tehtävien tai tiedostojen tallentamista. Tietoja voidaan säilyttää myös lain vaatimuksesta tai epäiltyjen rikkomusten ja väärinkäytösten selvittämiseksi – mahdollisesti 30 päivää tai pidempään. 4448