AnswersPublished27 sources
מה ZCode העלתה במסגרת Repo Wiki, ומה עדיין לא הובהר
לפי חוקרים, זרימת העבודה של Codebase Indexing ו Repo Wiki ב ZCode יכלה לארוז צילום מצב מוצפן של סביבת העבודה של משתמש מחובר — כולל היסטוריית Git — ולשלוח אותו לכיוון Alibaba Cloud OSS.[3][5] Z.AI הודתה בקשר לתכונת אינדוקס המאגר, הסירה בגרסה 3.14.0 את Repo Wiki ואת זרימת יצירת והעלאת צילומי המצב, ופרסמה תוצאות של בדי...
פורסם על ידינערך באמצעות GPT-5.6 Terraהתמונות נוצרו באמצעות GPT Image 2
Research answer
Key takeaways
- לפי חוקרים, זרימת העבודה של Codebase Indexing ו Repo Wiki ב ZCode יכלה לארוז צילום מצב מוצפן של סביבת העבודה של משתמש מחובר — כולל היסטוריית Git — ולשלוח אותו לכיוון Alibaba Cloud OSS.[3][5]
- Z.AI הודתה בקשר לתכונת אינדוקס המאגר, הסירה בגרסה 3.14.0 את Repo Wiki ואת זרימת יצירת והעלאת צילומי המצב, ופרסמה תוצאות של בדיקות חיצוניות שלפיהן הדלי שנבדק ריק.[2][16]
- הסוגיה שנותרה היא ראייתית: דלי ריק לאחר תיקון אינו מספק לבדו תיעוד מלא של המסלול הקודם של כל נתון, גישה אליו, העתקות אפשריות או שימושים אחרים.[16][17]
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: How did Z.AI’s ZCode coding assistant secretly package and attempt to upload developers’ local workspace files through its default Codebase. Article summary: ZCode’s default Codebase Indexing/Repo Wiki feature appears to have created and attempted to send an encrypted snapshot of an entire logged-in developer workspace—not merely files selected for an AI prompt—to Alibaba Clo. Topic tags: general, general web, user generated, news. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts wi
הוויכוח סביב הטיפול בנתונים ב-ZCode לא עסק רק בקבצים שמפתח בחר לצרף במפורש להנחיה עבור כלי AI. דוח הנדסה לאחור של החוקר ferstar טען כי כאשר משתמש היה מחובר לחשבון, יישום שולחן העבודה יכול היה לארוז צילום מצב מוצפן של סביבת העבודה וליזום העברה אל Object Storage Service של Aliyun, שירות האחסון בענן של Alibaba. Z.AI הכירה בבעיה קשורה בתכונת Codebase Indexing, ואמרה שיצירת Repo Wiki עשויה הייתה להפעיל העלאה של נתוני מאגר בתקופה מוקדמת שבה התכונה הופעלה כברירת מחדל.2
3
5
מה, לפי החוקרים, נארז בצילום המצב
לפי הדוח הטכני של ferstar, החבילה עשויה הייתה לכלול את סביבת העבודה כולה — ולא רק קבצים מצומצמים שנבחרו כקונטקסט להנחיה. בין הרכיבים שדווחו:
- תיקיית
.gitהמלאה והיסטוריית ה־commits; - מטמון נכסי Git LFS ורשומות reflog;
- קובצי סביבת העבודה; וכן
- הגדרות כלליות של היישום.
3
5
באחד הדיווחים תואר ארכיון מוצפן בגודל של כ־313 MB. בדיווחים שהתבססו על הניתוח נאמר גם שמפתח ה־RSA הפרטי הרלוונטי נשמר בידי Z.AI — מצב שהיה מונע מהמשתמש לפענח בעצמו ארכיון שנלכד, או לאמת מחיקה על סמך הטקסט המוצפן בלבד.4
אלו ממצאים מדווחים מהנדסה לאחור ומתצפית בתעבורת רשת, ולא מלאי ציבורי ועצמאי של כל המחשבים שעלולים היו להיות מושפעים. ההבחנה חשובה: ראיה לניסיון העברה אל OSS אינה מוכיחה שכל ניסיון הושלם, ואינה מראה כשלעצמה כמה זמן אובייקט נשאר זמין לאחר ההעברה.3
16
הקשר בין Repo Wiki לבין התנהגות ההעלאה
Z.AI מסרה שמקור הבעיה היה ב־Codebase Indexing, תכונה ששימשה יכולות כגון Repo Wiki ותהליכים הקשורים לגרסאות. לפי הסברה, יצירת דף Repo Wiki יכלה להפעיל העלאה של נתוני המאגר, והתכונה הייתה פעילה כברירת מחדל בתקופה המוקדמת לאחר ההשקה.2
5
11
ההסבר הזה מצביע על הנתיב המוצרי שהוביל להתנהגות, אך אינו הופך אותה לפעולת העלאת קבצים רגילה ומפורשת. מוקד הפגיעה באמון היה היקף הפעולה וההסכמה: משתמשים וחוקרים תיארו יצירה של חבילת סביבת עבודה מלאה, בלי אישור ברור ויעיל לאותה העברה.3
6
תגובת Z.AI: הסרה, קוד פתוח ובדיקות
לאחר פרסום הדיווחים, Z.AI התנצלה והשביתה את התכונות שנפגעו.2 בהמשך מסרה החברה כי ב־ZCode v3.14.0 הוסרה Repo Wiki, והושבתה זרימת העבודה ליצירה ולהעלאה של צילומי מצב מקומיים של מאגרים.
16
Z.AI גם הודיעה כי פתחה את קוד המקור של ZCode וביקשה בחינה חיצונית של הלקוח. בדיווחים הוזכרו הערכות של האקדמיה הסינית לטכנולוגיות מידע ותקשורת (CAICT) ושל חברת האבטחה NSFOCUS.10
23
לפי התיאור שפרסמה ZCode לגבי אותן הערכות:
- CAICT קבעה כי דלי ה־Alibaba Cloud OSS בשם
zcode-prodהיה במצב של אפס נתונים לאחר התיקון; וכן - NSFOCUS אישרה מחיקה של אובייקטי נתונים בדלי ושל נתונים באחסון גיבוי קשור.
16
בנפרד, Zhipu מסרה כי היא מתכננת אפשרות ללא שמירת נתונים בפלטפורמת ה־MaaS שלה: קלטים ופלטים ישמשו לבקשה הנוכחית בלבד ויימחקו לאחריה. מדובר במדיניות עיבוד עתידית שמוצהרת עבור הפלטפורמה; אין לראות בה הוכחה עצמאית למה שהתרחש קודם לכן בזרימת העבודה של ZCode.24
מה עדיין לא אומת
טענות החברה על תיקון ומחיקה הן בעלות משמעות, אך אינן עונות לבדן על כל השאלות ההיסטוריות. בדיקה לאחר התיקון שמצאה דלי מסוים ריק תומכת בטענה שהדלי שנבדק נוקה באותו מועד. בלי יומנים רחבים יותר ורישום מלא של העיבוד, היא אינה יכולה להוכיח באופן עצמאי שהנתונים מעולם לא הועתקו למקום אחר, לא נגישו לפני המחיקה או לא שימשו למטרה אחרת.
Z.AI מסרה שהקוד והנתונים הקשורים שעלו בדיווחים לא נשמרו ולא שימשו לאימון מודלים.41 עם זאת, החומר הפומבי המסוכם כאן אינו מציג תיעוד מקצה לקצה שניתן לביקורת עצמאית ושמכריע את הטענה השלילית הזו לגבי כל צילום מצב שדווח. לכן המסקנה המוגבלת היא: החברה מכחישה שימוש לאימון, אך האימות הציבורי עדיין אינו מלא.
מדוע Chengming Technology דרשה מלאי עיבוד
חברת Taiyuan Chengming Technology שלחה ל־Zhipu דרישה משפטית, לאחר שטענה להעלאות לא מורשות של נתוני חברה וסודות מסחריים. הדרישות שדווחו לא הסתפקו במחיקה: החברה ביקשה זיהוי של מיקומי האחסון, מידע על העברה אפשרית אל מחוץ לגבולות המדינה, שיתוף עם צדדים שלישיים, שימוש אפשרי לאימון מודלים, יומני גישה או ייצוא, והוכחה למחיקת הנתונים משרתים, מטמונים, גיבויים ומערכות התאוששות מאסון.17
21
26
הדרישה הזו ממחישה את רף הציפיות המעשי מכלי קידוד מבוססי AI: לא רק הצהרה שהמידע נמחק, אלא תיאור שניתן לעקוב אחריו של מה נאסף, לאן הועבר, מי יכול היה לעבד אותו וכיצד אפשר לאמת את המחיקה.
תגובת השוק הייתה מיידית, אך אינה פסק דין ארוך טווח
לפי דיווחים, מניות Z.AI ירדו במהלך המסחר לאחר הסערה; באחד הדיווחים תוארה ירידה תוך־יומית של עד 5%.35 דפי שערים זמינים הציגו גם עלייה של 1.79% בסגירה שנמסרה במועד מאוחר יותר, בעוד דיווח שוק אחר תיאר סגירה נמוכה יותר באותו יום.
34
38 הנתונים הסותרים תומכים במסקנה מצומצמת יותר: האירוע עורר דאגה קצרת טווח בשוק, אך אינו מאפשר לקבוע באופן מהימן את השפעתו על שווי החברה לאורך זמן.
מה מפתחים וצוותים יכולים ללמוד מכך
האירוע מדגיש קריטריון בסיסי לבחינת כלי קידוד מבוססי AI: יש להבדיל בין אינדוקס מקומי, העברת הקשר להנחיה, ו־העלאת צילום מצב של סביבת עבודה מלאה. מוצר צריך להציג כל אחת מהפעולות הללו באופן מובן, לאפשר שליטה נפרדת בכל אחת מהן, ולאפשר אימות באמצעות תיעוד, בדיקת תעבורת רשת או סקירת קוד המקור.
לצוותים שמטפלים בקוד קנייני, סודות או נתונים תחת רגולציה, הגישה הזהירה היא לדרוש הסכמה מפורשת להעלאה, לצמצם את היקף סביבת העבודה, לבחון יעדי תקשורת יוצאת ולבקש התחייבויות ספק מפורטות לגבי שמירת נתונים, קבלני משנה, הליכי מחיקה וראיות מביקורת. במקרה הזה, הסרת זרימת העלאת צילומי המצב בידי Z.AI מטפלת במנגנון שעליו דווח; השאלות הרחבות יותר על הטיפול ההיסטורי בנתונים מסבירות מדוע המחלוקת נמשכה גם לאחר התיקון.16
17
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "מה ZCode העלתה במסגרת Repo Wiki, ומה עדיין לא הובהר"?
לפי חוקרים, זרימת העבודה של Codebase Indexing ו Repo Wiki ב ZCode יכלה לארוז צילום מצב מוצפן של סביבת העבודה של משתמש מחובר — כולל היסטוריית Git — ולשלוח אותו לכיוון Alibaba Cloud OSS.[3][5]
What are the key points to validate first?
לפי חוקרים, זרימת העבודה של Codebase Indexing ו Repo Wiki ב ZCode יכלה לארוז צילום מצב מוצפן של סביבת העבודה של משתמש מחובר — כולל היסטוריית Git — ולשלוח אותו לכיוון Alibaba Cloud OSS.[3][5] Z.AI הודתה בקשר לתכונת אינדוקס המאגר, הסירה בגרסה 3.14.0 את Repo Wiki ואת זרימת יצירת והעלאת צילומי המצב, ופרסמה תוצאות של בדיקות חיצוניות שלפיהן הדלי שנבדק ריק.[2][16]
What should I do next in practice?
הסוגיה שנותרה היא ראייתית: דלי ריק לאחר תיקון אינו מספק לבדו תיעוד מלא של המסלול הקודם של כל נתון, גישה אליו, העתקות אפשריות או שימושים אחרים.[16][17]