JawabanDipublikasikan27 sumber
Apa yang Diunggah ZCode lewat Repo Wiki, dan Apa yang Diubah Z.AI
Peneliti melaporkan alur Codebase Indexing/Repo Wiki ZCode yang aktif secara default pada periode awal dapat membuat snapshot terenkripsi dari workspace pengguna yang sedang login dan mengarahkannya ke Alibaba Cloud OSS. Isi snapshot yang dilaporkan mencakup folder .git dan riwayat commit, cache Git LFS, reflog, fil...
Diterbitkan olehDiedit dengan GPT-5.6 TerraGambar dibuat dengan GPT Image 2
Jawaban penelitian
Poin-poin penting
- Peneliti melaporkan alur Codebase Indexing/Repo Wiki ZCode yang aktif secara default pada periode awal dapat membuat snapshot terenkripsi dari workspace pengguna yang sedang login dan mengarahkannya ke Alibaba Cloud OSS.
- Isi snapshot yang dilaporkan mencakup folder .git dan riwayat commit, cache Git LFS, reflog, file workspace, serta konfigurasi aplikasi global.
- Z.AI menyatakan Repo Wiki telah dihapus dan alur pembuatan serta upload snapshot repositori lokal dinonaktifkan di ZCode v3.14.0.
- Yang belum terjawab sepenuhnya bukan hanya soal penghapusan saat ini, melainkan rekam jejak pemrosesan terdahulu: ke mana data sempat berpindah, siapa yang dapat mengaksesnya, dan apakah penghapusan dapat dibuktikan m...
AI Perintah
openai.comCreate a landscape editorial hero image for this Studio Global article: How did Z.AI’s ZCode coding assistant secretly package and attempt to upload developers’ local workspace files through its default Codebase. Article summary: ZCode’s default Codebase Indexing/Repo Wiki feature appears to have created and attempted to send an encrypted snapshot of an entire logged-in developer workspace—not merely files selected for an AI prompt—to Alibaba Clo. Topic tags: general, general web, user generated, news. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts wi
Kontroversi penanganan data ZCode bukan semata-mata soal file yang sengaja dipilih pengembang untuk dimasukkan ke prompt AI. Laporan reverse engineering oleh peneliti ferstar menuduh klien desktop ini, ketika pengguna sedang login, dapat mengemas snapshot workspace terenkripsi lalu memulai pengiriman ke Object Storage Service (OSS) Aliyun atau Alibaba Cloud. Z.AI mengakui adanya masalah terkait fitur Codebase Indexing: pembuatan Repo Wiki dapat memicu upload data repositori pada periode awal ketika fitur tersebut aktif secara default.2
3
5
Isi paket yang dilaporkan peneliti
Menurut laporan teknis ferstar, snapshot itu berpotensi mencakup seluruh workspace, bukan hanya lampiran yang dipilih untuk sebuah prompt. Isi yang dilaporkan antara lain:
- folder
.gitsecara lengkap beserta riwayat commit; - cache aset Git LFS dan reflog;
- file-file workspace; serta
- konfigurasi aplikasi global.
3
5
Salah satu laporan menyebut arsip terenkripsi berukuran sekitar 313 MB. Pemberitaan yang merujuk pada analisis tersebut juga menyatakan kunci privat RSA terkait berada di sisi Z.AI. Artinya, pengguna tidak bisa secara mandiri mendekripsi arsip yang berhasil ditangkap maupun memakai ciphertext saja untuk memverifikasi penghapusan.4
Temuan ini berasal dari reverse engineering dan pengamatan lalu lintas jaringan, bukan inventaris publik yang independen untuk setiap mesin yang terdampak. Perbedaan ini penting: bukti adanya upaya transfer ke OSS tidak membuktikan semua upaya selesai, dan juga tidak otomatis menunjukkan berapa lama sebuah objek tersimpan setelah transfer.3
16
Kaitan Repo Wiki dengan perilaku upload
Z.AI menyatakan masalah berasal dari Codebase Indexing, fitur yang dipakai untuk kemampuan seperti Repo Wiki dan alur kerja terkait versi. Menurut penjelasan perusahaan, pembuatan halaman Repo Wiki dapat memicu upload data repositori; fitur itu aktif secara default pada masa awal peluncuran.2
5
11
Penjelasan tersebut menerangkan jalur produknya, tetapi tidak membuat perilaku ini setara dengan aksi upload file biasa yang dilakukan secara eksplisit. Pokok persoalannya adalah cakupan dan persetujuan: pengguna dan peneliti menggambarkan sebuah paket seluruh workspace dibuat tanpa konfirmasi yang jelas dan efektif untuk transfer tersebut.3
6
Langkah perbaikan Z.AI: penghapusan fitur, kode sumber terbuka, dan audit
Setelah laporan muncul, Z.AI meminta maaf dan menonaktifkan fitur yang terdampak.2 Perusahaan kemudian menyatakan ZCode v3.14.0 menghapus Repo Wiki serta menonaktifkan alur untuk membuat dan mengunggah snapshot repositori lokal.
16
Z.AI juga menyatakan telah membuka kode sumber ZCode dan mengundang peninjauan eksternal terhadap klien tersebut. Sejumlah laporan menyebut adanya penilaian oleh China Academy of Information and Communications Technology (CAICT) dan NSFOCUS.10
23
Dalam keterangan ZCode mengenai penilaian itu:
- CAICT menemukan bucket Alibaba Cloud OSS
zcode-prodberada dalam kondisi tanpa data setelah perbaikan; dan - NSFOCUS mengonfirmasi penghapusan objek data di bucket tersebut serta penyimpanan cadangan terkait.
16
Secara terpisah, Zhipu menyatakan rencana opsi tanpa retensi data untuk platform MaaS-nya. Dalam opsi itu, input dan output digunakan untuk permintaan saat ini lalu dihapus sesudahnya. Namun, ini adalah kebijakan pemrosesan yang direncanakan untuk platform tersebut, bukan bukti independen tentang apa yang terjadi dalam alur ZCode sebelumnya.24
Hal yang masih belum terverifikasi
Klaim perbaikan perusahaan tetap penting, tetapi belum menjawab seluruh pertanyaan historis. Penilaian setelah perbaikan yang menunjukkan bucket bernama tertentu telah kosong mendukung klaim bahwa bucket yang diperiksa sudah dibersihkan pada saat itu. Namun, tanpa log yang lebih luas dan catatan pemrosesan lengkap, hal itu tidak dapat membuktikan secara mandiri bahwa data tidak pernah disalin ke tempat lain, diakses sebelum dihapus, atau dipakai untuk tujuan lain.
Z.AI menyatakan kode dan data terkait yang dilaporkan tidak disimpan maupun digunakan untuk pelatihan model.41 Meski begitu, materi publik yang dirangkum di sini belum menyediakan jejak audit menyeluruh dan independen yang dapat memastikan klaim negatif tersebut untuk setiap snapshot yang dilaporkan. Kesimpulan yang tepat tetap terbatas: perusahaan menyangkal penggunaan untuk pelatihan, sementara verifikasi publik belum lengkap.
Mengapa Chengming Technology meminta inventaris pemrosesan
Taiyuan Chengming Technology mengirimkan tuntutan hukum kepada Zhipu setelah menuduh terjadi upload tanpa izin atas data perusahaan dan rahasia dagang. Permintaannya bukan sekadar penghapusan data: perusahaan itu meminta identifikasi lokasi penyimpanan, kemungkinan transfer lintas negara, pembagian kepada pihak ketiga, kemungkinan penggunaan untuk pelatihan model, log akses atau ekspor, serta bukti penghapusan dari server, cache, cadangan, dan sistem pemulihan bencana.17
21
26
Permintaan itu menunjukkan standar praktis yang semakin diharapkan pengguna dari produk AI untuk pemrograman: bukan hanya pernyataan bahwa data sudah dihapus, melainkan penjelasan yang dapat ditelusuri mengenai data apa yang dikumpulkan, ke mana data berpindah, siapa yang dapat memprosesnya, dan bagaimana penghapusannya diverifikasi.
Reaksi pasar cepat, tetapi bukan putusan jangka panjang
Laporan menyebut saham Z.AI sempat turun saat perdagangan setelah kontroversi ini; satu laporan mencatat penurunan intrahari hingga 5%.35 Halaman kuotasi penutupan yang tersedia juga menunjukkan kenaikan 1,79% pada penutupan yang dikutip kemudian, sementara laporan pasar lain menyebut penutupan hari itu lebih rendah.
34
38 Gambaran yang beragam tersebut mendukung kesimpulan yang lebih terbatas: insiden ini memicu kekhawatiran pasar dalam jangka pendek, bukan bukti andal mengenai dampak terhadap valuasi jangka panjang.
Pelajaran bagi pengembang
Kasus ini menegaskan satu kriteria dasar saat mengevaluasi alat coding berbasis AI: bedakan dengan jelas antara pengindeksan lokal, transfer konteks prompt, dan upload snapshot seluruh workspace. Produk semestinya membuat tiap perilaku itu mudah dipahami, bisa dikendalikan secara terpisah, dan mudah diverifikasi lewat dokumentasi, inspeksi jaringan, atau peninjauan kode sumber.
Bagi tim yang menangani kode proprieter, secret, atau data teregulasi, pendekatan yang lebih aman adalah mewajibkan persetujuan eksplisit untuk upload, memperkecil cakupan workspace, meninjau tujuan koneksi jaringan keluar, serta meminta komitmen vendor yang memperinci retensi, subprosesor, prosedur penghapusan, dan bukti audit. Dalam kasus ini, penghapusan alur upload snapshot oleh Z.AI menangani mekanisme yang dilaporkan, sedangkan pertanyaan lebih luas mengenai penanganan data historis menjelaskan mengapa kontroversi tetap berlanjut setelah pembaruan.16
17
Studio Global AI
Lanjutkan penelitian Anda
Halaman ini berisi jawaban yang didukung sumber yang dapat Anda lanjutkan di dalam Studio Global.
Orang-orang juga bertanya
Apa jawaban singkat untuk "Apa yang Diunggah ZCode lewat Repo Wiki, dan Apa yang Diubah Z.AI"?
Peneliti melaporkan alur Codebase Indexing/Repo Wiki ZCode yang aktif secara default pada periode awal dapat membuat snapshot terenkripsi dari workspace pengguna yang sedang login dan mengarahkannya ke Alibaba Cloud OSS.
Apa poin penting yang harus divalidasi terlebih dahulu?
Peneliti melaporkan alur Codebase Indexing/Repo Wiki ZCode yang aktif secara default pada periode awal dapat membuat snapshot terenkripsi dari workspace pengguna yang sedang login dan mengarahkannya ke Alibaba Cloud OSS. Isi snapshot yang dilaporkan mencakup folder .git dan riwayat commit, cache Git LFS, reflog, file workspace, serta konfigurasi aplikasi global.
Apa yang harus saya lakukan selanjutnya dalam latihan?
Z.AI menyatakan Repo Wiki telah dihapus dan alur pembuatan serta upload snapshot repositori lokal dinonaktifkan di ZCode v3.14.0.