ZCode’un kod deposu yükleme tartışması: Düzeltme ve denetimlerin sınırları

Bir yazılım geliştirme aracına proje klasörünü açtığınızda, yalnızca görünen dosyaların değil, değişiklik geçmişinin de dışarı çıkması önemli bir fark. Eylül 2026’da bir araştırmacı, Zhipu AI’ın kod geliştirme aracı ZCode’un oturum açmış bir kullanıcının yerel çalışma alanını .git geçmişi dahil paketleyip şifreleyerek Alibaba Cloud’un nesne depolama hizmetine yükleyebildiğini ortaya koydu. Kullanıcıların bu işlemden yeterince haberdar edilmemesi ve açık rıza konusundaki endişeler üzerine Zhipu özür diledi, ZCode’un kodunu GitHub’da topluluk incelemesine açtı ve dış güvenlik değerlendirmelerine başvurdu. 24529

Yükleme neden gerçekleşiyordu?

Zhipu’ya göre sorun, kod deposundan belge üretmeye yarayan Repo Wiki ile ilişkili ve başlangıçta açık gelen kod tabanı indeksleme özelliğinden kaynaklanıyordu. Şirket, özellik kullanıma sunulurken yeterli bilgilendirme yapılmadığını ve kullanıcıya bunu elle kapatma seçeneği verilmediğini kabul etti. Araştırmacının bulguları ise yüklenmek üzere hazırlanan paketin, bir belge sayfası için beklenebilecek dosyaların ötesine geçerek Git geçmişini de içerebildiğini gösterdi. 14352

3.14.0 sürümünde ne değişti?

Zhipu, ZCode 3.14.0’da Repo Wiki’yi kaldırdığını ve yerel depoların anlık görüntüsünü oluşturup yükleyen işlem akışını kestiğini açıkladı. Dolayısıyla açıklanan düzeltme, özelliği yalnızca varsayılan olarak kapatmaktan ibaret değil. Şirket ayrıca kodu GitHub’da yayımlayarak topluluğun incelemesine sundu. 131629

Denetimler neyi doğruladı, neyi doğrulamadı?

Zhipu, Repo Wiki sayfası üretmek için yüklenen depo verilerinin sayfa oluşturulduktan sonra silindiğini söyledi. Daha sonra da tartışmaya konu olan kod verilerinin saklanmadığını ve hiçbir zaman model eğitiminde kullanılmadığını belirtti. Bunlar şirketin verileri nasıl işlediğine ilişkin beyanları; yükleme yapılmadığı anlamına gelmiyor. 1416

Açıklanan dış değerlendirme sonuçlarının kapsamı daha belirliydi:

• CAICT (Çin Bilgi ve İletişim Teknolojileri Akademisi), Alibaba Cloud’daki zcode-prod depolama alanının veri içermediğini bildirdi. Değerlendirmesinde 3.14.0 sürümünde Repo Wiki’nin ve anlık görüntü oluşturma-yükleme akışının kaldırıldığını da belirtti. 27
• NSFOCUS adlı siber güvenlik şirketi, depolama alanı ile içindeki veri nesnelerinin silindiğini bildirdi. 3.14.0 incelemesinde, kaldırılan akış üzerinden yerel depo anlık görüntüsü oluşturmayı veya dosya göndermeyi tetikleyen işlevsel bir yol bulmadığını açıkladı. 2627

Bu bulgular, incelenen sürümün ve ilgili depolama alanının durumuna ilişkin. Önceki yüklemelerin model eğitiminde hiç kullanılmadığı yönündeki şirket beyanını tek başlarına bağımsız olarak doğrulamıyorlar. 1627

Sonraki güvenlik ve veri saklama adımları

Zhipu, ürünlerindeki güvenlik açıkları için sürekli bir bildirim ve yanıt süreci kuracağını, bildirilen sorunların ciddiyetine göre ödül vereceğini duyurdu. 29

Şirket ayrıca model hizmeti platformu MaaS için, veri içeriğini saklamamaya yönelik isteğe bağlı bir özellik planladığını açıkladı. Kullanıcılar platformun yönetim panelinden başvurabilecek; özellik etkinleştirildiği doğrulandıktan sonra, kapsam dahilindeki model çağrılarının girdileri ve çıktıları kalıcı olarak depolanmadan yalnızca o isteği karşılamak için kullanılacak. Bu düzenleme ZCode’un geçmiş yüklemelerine dönük bir çözüm veya her durumda geçerli bir ‘sıfır saklama’ garantisi değil. Görev ya da dosyaların saklanmasını gerektiren Batch API ve File API kapsam dışında. Yasal zorunluluklar veya şüpheli ihlal ve kötüye kullanımı inceleme durumlarında veriler 30 gün veya daha uzun süre tutulabilecek. 4448