Vụ ZCode tải mã nguồn lên đám mây: Đã sửa gì, kiểm tra xác nhận được gì?

Điểm cần phân biệt trong vụ ZCode là đường tải dữ liệu đã bị gỡ không đồng nghĩa với việc mọi câu hỏi về dữ liệu từng tải lên đều đã được kiểm chứng độc lập. Sau khi một nhà nghiên cứu công bố phát hiện vào tháng 9/2026, Zhipu AI xin lỗi, đưa mã nguồn ZCode lên GitHub để cộng đồng xem xét và mời các đơn vị bên ngoài đánh giá việc khắc phục. 24529

Vì sao kho mã nguồn bị tải lên?

Theo nhà nghiên cứu, khi người dùng đăng nhập, ZCode — công cụ hỗ trợ lập trình của Zhipu — có thể đóng gói không gian làm việc trên máy, bao gồm cả thư mục .git chứa lịch sử thay đổi, mã hóa rồi tải lên dịch vụ lưu trữ đối tượng OSS của Alibaba Cloud. Phạm vi dữ liệu đó rộng hơn những tệp người dùng có thể nghĩ là cần thiết để tạo một trang tài liệu. 25

Zhipu quy hành vi này cho tính năng lập chỉ mục kho mã nguồn liên quan đến Repo Wiki, công cụ tạo tài liệu từ dữ liệu dự án. Công ty thừa nhận tính năng được bật mặc định khi ra mắt, chưa được giải thích đầy đủ cho người dùng và không có cách tắt thủ công. 1435

Bản 3.14.0 sửa đến đâu?

Theo Zhipu, ZCode 3.14.0 gỡ Repo Wiki và cắt luồng tạo rồi tải ảnh chụp kho mã nguồn trên máy lên đám mây — không chỉ chuyển tính năng sang trạng thái tắt mặc định. Công ty cũng công khai mã nguồn ZCode trên GitHub để cộng đồng kiểm tra. 131629

Dữ liệu cũ và kết quả đánh giá: hai vấn đề khác nhau

Zhipu nói dữ liệu kho mã nguồn dùng để tạo trang Repo Wiki được hủy sau khi trang hoàn tất. Công ty sau đó tuyên bố dữ liệu mã nguồn được cộng đồng nêu trong vụ việc không còn được lưu giữ và chưa từng được dùng để huấn luyện mô hình. Đây là tuyên bố về cách xử lý dữ liệu, không phải phủ nhận việc tải dữ liệu đã xảy ra. 1416

Các kết quả đánh giá bên ngoài được công bố có phạm vi cụ thể hơn:

• CAICT — Viện Công nghệ Thông tin và Truyền thông Trung Quốc — xác nhận kho lưu trữ OSS zcode-prod ở trạng thái không có dữ liệu; kết quả được công bố cũng cho biết bản 3.14.0 đã gỡ Repo Wiki và cắt luồng tạo, tải ảnh chụp kho mã nguồn. 27
• NSFOCUS, công ty an ninh mạng, báo cáo rằng các đối tượng dữ liệu và chính kho lưu trữ liên quan đã bị xóa. Khi kiểm tra bản 3.14.0, đơn vị này không tìm thấy đường chức năng còn lại có thể kích hoạt việc tạo ảnh chụp kho mã nguồn trên máy hoặc gửi tệp ra ngoài qua luồng đã gỡ. 2627

Những kết quả trên nói về tình trạng kho lưu trữ được kiểm tra và phiên bản ZCode mới. Tự chúng không xác minh độc lập tuyên bố của Zhipu rằng dữ liệu tải lên trước đây chưa từng được dùng để huấn luyện mô hình. 1627

Các cam kết tiếp theo có áp dụng cho ZCode không?

Zhipu nói sẽ thiết lập quy trình thường xuyên để tiếp nhận, phản hồi báo cáo lỗ hổng bảo mật sản phẩm và trao thưởng tùy mức độ nghiêm trọng của vấn đề. 29

Riêng với nền tảng MaaS (cung cấp mô hình dưới dạng dịch vụ), công ty công bố kế hoạch triển khai tùy chọn “không lưu giữ nội dung dữ liệu”. Người dùng có thể đăng ký qua bảng điều khiển; sau khi nền tảng xác nhận tùy chọn đã có hiệu lực và phạm vi áp dụng, Zhipu nói nội dung đầu vào, đầu ra của những lượt gọi mô hình thuộc diện áp dụng sẽ chỉ được dùng cho lượt gọi đó, không lưu trữ lâu dài. Đây không phải biện pháp xóa hồi tố dữ liệu ZCode, cũng không phải cam kết không lưu dữ liệu trong mọi trường hợp. 4448

Batch API và File API — các chức năng cần lưu tác vụ hoặc tệp để hoạt động — nằm ngoài phạm vi tùy chọn này. Nền tảng cũng có thể giữ dữ liệu khi pháp luật yêu cầu hoặc để điều tra hành vi bị nghi vi phạm, lạm dụng; thời gian lưu trong những trường hợp đó có thể là 30 ngày hoặc lâu hơn. 4448