ZCode, i progetti caricati senza consenso esplicito: la scoperta di ferstar e la risposta di Z.AI

Il 18 settembre 2026 il ricercatore ferstar ha documentato un comportamento di ZCode, l’assistente di programmazione di Z.AI: il programma preparava una copia cifrata dell’intera area di lavoro locale per inviarla allo spazio di archiviazione di Alibaba Cloud, senza un consenso esplicito dell’utente. Il punto non era soltanto che un assistente potesse comunicare con un server, ma quanto materiale venisse incluso nell’archivio, cronologia del progetto compresa.41032

Che cosa mostrano i log

Sul computer di ferstar, ZCode ha raccolto 42.411 file in un archivio da 313 MB e ha registrato 564 tentativi di upload. Secondo l’analisi riportata, tutti quei tentativi sono falliti sulla sua macchina. I numeri descrivono quel caso: non indicano quanti upload possano essere riusciti per altri utenti.10

La copia comprendeva anche la cronologia Git, inclusi i reflog e la cache di Git LFS, usata per gestire file di grandi dimensioni. Impacchettare l’intera area di lavoro comportava inoltre il rischio di includere configurazioni o credenziali sensibili insieme al codice.414

Ferstar ha ricostruito anche il meccanismo di cifratura: AES-256-CTR per il contenuto dell’archivio e RSA-OAEP-SHA256 per proteggere la relativa chiave, usando una chiave pubblica fornita dal server. Il client riceveva inoltre le credenziali necessarie all’upload su Alibaba Cloud.10 La chiave privata corrispondente era custodita nei sistemi di Z.AI. Di conseguenza, un utente non poteva aprire autonomamente un archivio già caricato né controllare personalmente che cosa fosse accaduto a quella copia.17

La spiegazione di Z.AI e la correzione

Z.AI ha attribuito il comportamento a Codebase Indexing, una funzione attiva per impostazione predefinita, e ha dichiarato di aver corretto il problema. Secondo l’azienda, i dati del repository servivano a generare una pagina Repo Wiki e venivano distrutti una volta completata la generazione. Z.AI si è scusata e ha pubblicato il codice sorgente di ZCode con licenza Apache 2.0.17222

Esaminando la versione 3.14.0, ferstar ha riscontrato la rimozione del percorso di upload repoSnapshot; l’endpoint che forniva le credenziali cloud restituiva un errore 404.23 Secondo le valutazioni riportate della China Academy of Information and Communications Technology e di NSFOCUS, lo spazio di archiviazione Alibaba Cloud interessato risultava vuoto o eliminato e nel client aggiornato non rimaneva un percorso capace di attivare nuove copie del repository.7 La pubblicazione del codice ne consente l’esame, anche se ferstar ha osservato che il repository reso pubblico conteneva soltanto due commit, non la precedente cronologia di sviluppo.9

Z.AI ha anche annunciato l’intenzione di istituire un processo continuativo per segnalare vulnerabilità. Separatamente, sono stati riportati piani per consentire agli utenti della sua piattaforma MaaS — che offre modelli tramite servizi e API — di richiedere la non conservazione dei dati. La misura annunciata prevede eccezioni, fra cui alcuni percorsi API e le informazioni conservate per ragioni legali, di sicurezza o di prevenzione degli abusi.1320

Dove finiscono le verifiche disponibili

Z.AI sostiene che i dati del codice non siano stati conservati e che non siano mai stati usati per addestrare modelli. Le verifiche riferite sullo spazio cloud esaminato sostengono una conclusione più circoscritta: non provano, da sole, l’assenza di un uso passato dei dati per l’addestramento.89

È stata inoltre riportata una lettera legale di un cliente aziendale che chiedeva chiarimenti sulla gestione dei dati caricati. Le fonti disponibili non ne stabiliscono l’esito né forniscono una prova indipendente della cancellazione per ciascun utente coinvolto.1821 Il 21 settembre, durante gli scambi a Hong Kong, le azioni della società hanno perso oltre il 5% in un momento della seduta: è un dato infragiornaliero, non la variazione alla chiusura.3033

Per chi deve valutare l’incidente, la distinzione decisiva è questa: la rimozione del meccanismo nel client aggiornato e i controlli su uno specifico spazio cloud sono documentati; la sorte di ogni eventuale copia precedente e il suo possibile impiego restano questioni che quelle verifiche, per il loro perimetro, non risolvono.7823