Ciche wysyłanie projektów przez ZCode: ustalenia badacza i granice kontroli

Asystent programowania może potrzebować dostępu do kodu, ale to nie jest równoznaczne ze zgodą na spakowanie całego lokalnego projektu. 18 września 2026 r. badacz działający jako ferstar opisał, jak ZCode przygotowywał zaszyfrowaną kopię jego przestrzeni roboczej do wysłania do magazynu plików Alibaba Cloud — bez wyraźnej zgody użytkownika. W kopii znalazły się nie tylko bieżące pliki, lecz także historia projektu.41032

Co pokazały logi — i czego nie pokazują

Na komputerze ferstara ZCode spakował 42 411 plików do archiwum o wielkości 313 MB. Badacz odnotował 564 próby przesłania go do Alibaba Cloud; według relacji z jego analizy wszystkie zakończyły się niepowodzeniem na jego urządzeniu. Te liczby dotyczą jednego zaobserwowanego przypadku. Nie mówią, ilu innym użytkownikom dane mogły zostać skutecznie wysłane.10

Archiwum obejmowało historię Git, w tym dzienniki odwołań reflog oraz pamięć podręczną Git LFS, narzędzia używanego do przechowywania dużych plików w projektach. Pakowanie całej przestrzeni roboczej stwarzało również ryzyko objęcia kopią plików konfiguracyjnych lub danych uwierzytelniających znajdujących się obok kodu.414

Szyfrowanie nie dawało użytkownikowi kontroli

Według opisanej analizy ZCode szyfrował zawartość archiwum algorytmem AES-256-CTR, a klucz do niej zabezpieczał metodą RSA-OAEP-SHA256, używając klucza publicznego otrzymanego z serwera. Klient otrzymywał też dane potrzebne do wysłania pliku do magazynu Alibaba Cloud.10 Odpowiadający klucz prywatny znajdował się po stronie Z.AI. Użytkownik nie mógł więc samodzielnie otworzyć przesłanego archiwum i sprawdzić jego zawartości ani osobiście potwierdzić, co stało się z kopią po wysłaniu.17

Wyjaśnienie firmy i zmiany w ZCode

Z.AI przypisało zachowanie domyślnie włączonej funkcji Codebase Indexing i poinformowało o naprawieniu problemu. Według firmy przesłanie repozytorium służyło utworzeniu strony Repo Wiki, po czym dane miały być usuwane. Z.AI przeprosiło i opublikowało kod ZCode na licencji Apache 2.0.17222

Ferstar sprawdził wersję 3.14.0 i stwierdził, że usunięto z niej mechanizm wysyłki repoSnapshot, a punkt końcowy wydający dane dostępowe do chmury zwracał błąd 404.23 Według opublikowanych relacji oceny przeprowadzone przez China Academy of Information and Communications Technology oraz firmę NSFOCUS wykazały, że wskazany zasobnik Alibaba Cloud był pusty lub został usunięty. Nie znaleziono też w zaktualizowanym kliencie działającej ścieżki uruchamiającej tworzenie lokalnych kopii repozytorium.7 Udostępnienie kodu pozwala badać opublikowaną wersję, choć ferstar zwrócił uwagę, że repozytorium zawierało tylko dwa commity, bez wcześniejszej historii prac.9

Z.AI zapowiedziało ponadto stały proces zgłaszania podatności.13 Osobno informowano o planowanych możliwościach wnioskowania o nieprzechowywanie danych na platformie MaaS, czyli usłudze udostępniającej modele przez API. Opisywana polityka przewiduje wyjątki, m.in. dla niektórych ścieżek API oraz informacji zachowywanych ze względów prawnych, bezpieczeństwa lub przeciwdziałania nadużyciom.20

Co pozostaje niepotwierdzone

Z.AI zapewniło, że danych z kodem nie przechowuje i nigdy nie użyło ich do trenowania modeli. Wyniki dotyczące konkretnego zasobnika w chmurze wspierają węższy wniosek o stanie sprawdzonego miejsca przechowywania. Same w sobie nie pozwalają niezależnie zweryfikować historycznego wykorzystania danych do treningu.89

Według doniesień klient biznesowy skierował do firmy pismo prawne z żądaniem odpowiedzi w sprawie postępowania z danymi. Dostępne relacje nie ustalają wyniku tego żądania ani nie dostarczają niezależnego potwierdzenia usunięcia każdej kopii, która mogła trafić do chmury.1821 21 września kurs akcji Z.AI notowanych w Hongkongu spadał w trakcie sesji o ponad 5%. To zmiana śródsesyjna, nie informacja o wyniku na zamknięciu.3033

Dla osób oceniających bezpieczeństwo narzędzia najważniejsze jest rozróżnienie: usunięcie mechanizmu wysyłki w zbadanej wersji klienta i stan skontrolowanego zasobnika mają wskazane potwierdzenie. Twierdzenia o losie każdej wcześniejszej kopii i o niewykorzystaniu danych do treningu wykraczają poza zakres tych ustaleń.7823