ZCodeのコード送信問題、何が修正された？第三者調査で確認された範囲

焦点は、アップロードを止める修正が行われたかと、過去に送られたデータがどう扱われたかを分けて見ることだ。2026年9月、研究者は、智譜AIの開発支援ツール「ZCode」がログイン中のユーザーのローカル作業領域を、Gitの履歴を含めてまとめ、暗号化したうえでAlibaba Cloudのストレージへアップロードし得ると指摘した。利用者への十分な説明や明確な同意がないまま送信されることが問題となり、同社は謝罪してコードを公開し、第三者による安全性評価を依頼した。245

なぜリポジトリがアップロードされたのか

智譜AIは、原因を初期設定で有効だったコードベースの索引作成機能に関連付けて説明している。この機能は、リポジトリからドキュメントを生成する「Repo Wiki」にも使われていた。同社は、導入時の説明が不十分で、利用者が手動でオフにする手段もなかったと認めた。一方、研究者の調査によると、送信用にまとめられる範囲には、文書生成だけを考えれば不要にも見える.gitの履歴などが含まれていた。14352

v3.14.0で何が変わったのか

智譜AIによれば、ZCode v3.14.0はRepo Wikiを削除し、ローカルリポジトリのスナップショットを生成・アップロードする処理経路を断った。単に初期設定をオフにしたのではなく、問題となった機能と送信経路を取り除いたという説明だ。同社はコミュニティーによる検証を受けるため、ZCodeのコードもGitHubで公開した。131629

データについて、会社の説明と第三者の確認結果はどう違う？

智譜AIは、Repo Wikiのページ生成のためにアップロードしたリポジトリデータは、ページ生成後に破棄していたと説明。その後、問題視されたコードデータは保持しておらず、モデルの学習にも一度も使用していないと表明した。これはデータの取り扱いに関する同社の主張であり、アップロード自体を否定するものではない。1416

公表された第三者調査の結果は、確認した対象をより具体的に示している。

• 中国信息通信研究院（CAICT）は、Alibaba Cloudのオブジェクトストレージにあるzcode-prodバケットがデータのない状態だと確認し、v3.14.0ではRepo Wikiとスナップショット生成・アップロードの経路が削除されたと報告した。27
• **NSFOCUS（緑盟科技）**は、同バケット内のデータオブジェクトとバケット自体が削除されたと報告。v3.14.0の調査では、削除された処理経路を通じてローカルリポジトリのスナップショット作成やファイル送信を起動できる機能経路は見つからなかったとした。2627

つまり、これらの結果が直接示すのは、調査対象となった保存先の状態と修正版クライアントの動作経路だ。それだけで、過去のアップロードデータがモデル学習に使われなかったという智譜AIの説明まで独立に検証されたわけではない。1627

今後の報告制度と「データ非保存」オプションは？

智譜AIは、製品のセキュリティー上の脆弱性を継続的に受け付け、対応する仕組みを設け、報告された問題の深刻度に応じて報奨を出す方針を示した。29

これとは別に、同社はモデルをAPIなどで提供するMaaS（Model as a Service）基盤で、「データ内容を保存しない」オプションを導入する計画を発表した。利用者が管理画面から申請し、適用が確認された対象のモデル呼び出しでは、入力と出力をその呼び出しにのみ使用し、継続的には保存しないという。ただし、これはZCodeで過去にアップロードされたデータへの遡及的な対処ではなく、あらゆるデータの保存を無条件に禁止する約束でもない。4448

ジョブやファイルの保存が必要なBatch APIとFile APIは対象外だ。また、法令に基づく保存や、規約違反・不正利用の疑いを調べる場合には、関連データが30日以上保持される可能性がある。適用時期と対象範囲も、申請後のプラットフォーム側の確認による。4448