ZCode Pernah Mengunggah Repositori Pengguna: Ini Perbaikan Zhipu dan Hasil Auditnya

Temuan seorang peneliti pada September 2026 menyoroti cara kerja ZCode, perangkat bantu pemrograman dari Zhipu AI. Saat pengguna masuk ke aplikasi, ZCode dapat mengemas ruang kerja lokal—termasuk riwayat Git—mengenkripsinya, lalu mengunggah salinannya ke penyimpanan Alibaba Cloud OSS. Persoalannya bukan sekadar ada transfer data, melainkan pengguna tidak mendapat penjelasan yang memadai tentang unggahan itu. Zhipu kemudian meminta maaf, membuka kode sumber ZCode untuk ditinjau komunitas, dan mengundang penilaian keamanan dari pihak luar. 245

Mengapa repositori diunggah?

Menurut Zhipu, jalur unggahan itu terkait fitur pengindeksan repositori yang aktif secara bawaan dan mendukung Repo Wiki, fitur pembuat dokumentasi dari data repositori. Perusahaan mengakui bahwa saat fitur diperkenalkan, pengguna tidak diberi penjelasan yang cukup dan tidak tersedia pilihan untuk mematikannya secara manual. Peneliti menemukan bahwa bahan yang dikemas bisa mencakup lebih dari berkas yang diperlukan untuk membuat halaman dokumentasi, termasuk direktori .git yang menyimpan riwayat proyek. 14352

Apa yang berubah pada ZCode 3.14.0?

Zhipu menyatakan bahwa versi 3.14.0 menghapus Repo Wiki sekaligus memutus alur pembuatan dan pengunggahan salinan repositori lokal. Jadi, perbaikannya bukan hanya mengubah fitur tersebut menjadi nonaktif secara bawaan. Zhipu juga menerbitkan kode ZCode di GitHub agar komunitas dapat memeriksanya. 131629

Apa yang diketahui tentang data yang terlanjur diunggah?

Zhipu mengatakan data repositori yang dipakai untuk membuat halaman Repo Wiki dimusnahkan setelah halaman selesai dibuat. Perusahaan kemudian menyatakan bahwa data kode yang dipersoalkan komunitas tidak disimpan dan tidak pernah digunakan untuk pelatihan model. Ini adalah pernyataan Zhipu tentang penanganan data, bukan bantahan bahwa unggahan pernah terjadi. 1416

Hasil pemeriksaan pihak luar yang dilaporkan memiliki cakupan lebih spesifik:

• CAICT, lembaga penelitian teknologi informasi dan komunikasi di Tiongkok, menyatakan wadah penyimpanan Alibaba Cloud OSS bernama zcode-prod berada dalam kondisi tanpa data. CAICT juga melaporkan bahwa versi 3.14.0 telah menghapus Repo Wiki dan memutus alur pembuatan serta pengunggahan salinan repositori. 27
• NSFOCUS, perusahaan keamanan siber, melaporkan bahwa wadah penyimpanan tersebut beserta seluruh objek datanya telah dihapus. Dalam pemeriksaan versi 3.14.0, NSFOCUS tidak menemukan lagi jalur fungsi yang dapat memicu pembuatan salinan repositori lokal atau mengirimkan berkas melalui alur yang telah dihapus. 2627

Dengan kata lain, temuan itu menjelaskan kondisi penyimpanan saat diperiksa dan perilaku versi klien yang ditinjau. Temuan tersebut tidak dengan sendirinya membuktikan klaim Zhipu bahwa unggahan sebelumnya tidak pernah digunakan untuk melatih model. 1627

Kontrol apa lagi yang dijanjikan?

Zhipu mengatakan akan membangun proses berkelanjutan untuk menerima dan menanggapi laporan celah keamanan produk, dengan imbalan berdasarkan tingkat keparahan masalah yang dilaporkan. 29

Secara terpisah, perusahaan mengumumkan rencana opsi “tanpa penyimpanan konten data” untuk platform MaaS (model as a service, layanan akses model AI). Pengguna dapat mengajukannya melalui konsol platform. Setelah pengaktifannya dikonfirmasi, Zhipu mengatakan masukan dan keluaran pada pemanggilan model yang tercakup hanya akan digunakan untuk permintaan tersebut, tanpa penyimpanan permanen. Opsi ini bukan perbaikan yang berlaku surut bagi unggahan ZCode, dan bukan jaminan bahwa semua data dalam segala keadaan tidak akan disimpan. 4448

Batch API dan File API, yang memerlukan penyimpanan tugas atau berkas, tidak termasuk dalam cakupannya. Data juga masih dapat disimpan jika diwajibkan hukum atau diperlukan untuk menyelidiki dugaan pelanggaran maupun penyalahgunaan, berpotensi selama 30 hari atau lebih. 4448