ZCode העלתה מאגרי קוד לענן: מה שינתה Zhipu AI ומה מצאו הבודקים

חוקר שבדק את ZCode בספטמבר 2026 גילה שכלי התכנות של Zhipu AI יכול לארוז סביבת עבודה מקומית של משתמש מחובר — לרבות היסטוריית Git — להצפין אותה ולהעלות אותה לשירות אחסון של Alibaba Cloud. החשיפה עוררה מחלוקת משום שמשתמשים לא קיבלו הסבר ברור או אפשרות בחירה מספקת לגבי ההעלאה. Zhipu AI התנצלה, פרסמה את קוד הכלי ב־GitHub והזמינה בדיקות אבטחה חיצוניות. 24529

למה ZCode העלתה מאגרי קוד?

לפי Zhipu AI, ההעלאה הייתה קשורה לתכונת אינדוקס של מאגרי קוד שהופעלה כברירת מחדל, ובפרט ל־Repo Wiki, שנועדה ליצור תיעוד מתוך המאגר. החברה הודתה שכאשר התכונה הושקה, היא לא הוסברה למשתמשים במידה מספקת ושלא ניתנה להם אפשרות לכבות אותה ידנית. בדיקת החוקר הראתה שהחבילה שנשלחה יכלה לכלול לא רק קבצים לצורך יצירת דף תיעוד, אלא גם את תיקיית .git ובה היסטוריית הפרויקט. 14352

מה תוקן בגרסה 3.14.0?

Zhipu AI מסרה שב־ZCode 3.14.0 הוסרה Repo Wiki ונקטע התהליך שיצר תמונות מצב של מאגר מקומי והעלה אותן לענן. כלומר, על פי החברה, התיקון לא הסתכם בכיבוי התכונה כברירת מחדל. במקביל היא פרסמה את קוד ZCode ב־GitHub כדי שהקהילה תוכל לבחון אותו. 131629

מה ידוע על המידע שכבר הועלה?

Zhipu AI טענה שנתוני מאגר שהועלו לצורך יצירת דף Repo Wiki הושמדו לאחר יצירתו. בהמשך הצהירה שהקוד שעליו דיווחה הקהילה אינו נשמר ומעולם לא שימש לאימון מודלים. אלה הצהרות של החברה על הטיפול במידע; הן אינן הכחשה לכך שהתבצעו העלאות. 1416

הממצאים שדווחו מהבדיקות החיצוניות ממוקדים יותר:

• CAICT, האקדמיה הסינית לטכנולוגיות מידע ותקשורת, מצאה שדלי האחסון zcode-prod בשירות Alibaba Cloud OSS נמצא במצב של אפס נתונים. לפי הדיווח, היא בדקה גם שגרסה 3.14.0 הסירה את Repo Wiki וקטעה את תהליך יצירת תמונות המצב והעלאתן. 27
• NSFOCUS, חברת אבטחת מידע, דיווחה שדלי האחסון וכל אובייקטי הנתונים שבו נמחקו. בבדיקת גרסה 3.14.0 היא לא מצאה נתיב פעולה שנותר ושיכול להפעיל יצירת תמונת מצב של מאגר מקומי או לשלוח קבצים החוצה דרך התהליך שהוסר. 2627

הבדיקות הללו עוסקות במצב האחסון ובגרסת התוכנה שנבדקה. הן אינן מאמתות כשלעצמן את טענת Zhipu AI בנוגע לשאלה אם העלאות קוד קודמות שימשו אי פעם לאימון מודלים. 1627

אילו צעדים נוספים הוכרזו — ומה החריגים?

Zhipu AI אמרה שתקים מנגנון קבוע לדיווח על חולשות אבטחה במוצר ולטיפול בהן, עם תגמול בהתאם לחומרת הבעיה המדווחת. 29

בנפרד הכריזה החברה על אפשרות מתוכננת לאי־שמירת תוכן נתונים בפלטפורמת MaaS שלה — שירות המאפשר למפתחים ולארגונים להשתמש במודלים דרך ממשקי API. משתמשים יוכלו לבקש להפעיל את האפשרות דרך ממשק הניהול; לאחר שהפלטפורמה תאשר שהיא פעילה ותקבע את היקף תחולתה, Zhipu AI אומרת שקלט ופלט של קריאות מודל הכלולות בה לא יישמרו באחסון מתמשך וישמשו רק לטיפול בבקשה הנוכחית. זהו מנגנון נפרד ל־MaaS, לא תיקון בדיעבד להעלאות של ZCode ולא הבטחה גורפת לאפס שמירת נתונים. 4448

גם כשהאפשרות פעילה, היא אינה חלה על פונקציות כמו Batch API ו־File API, שדורשות שמירה של משימות או קבצים. בנוסף, נתונים עשויים להישמר אם החוק מחייב זאת או לצורך בדיקת חשד להפרות או לשימוש לרעה — במקרים מסוימים למשך 30 יום ואף יותר. 4448