ZCode của Zhipu bị phát hiện tải toàn bộ cơ sở dữ liệu lên máy chủ, thậm chí không tha cả lịch sử Git

Động Sát Beating AI tin nhanh, công cụ lập trình AI ZCode của Zhipu AI bị phát hiện chạy snapshot toàn bộ dự án ở chế độ nền, đóng gói và mã hóa cả .git, rồi tải lên Alibaba Cloud OSS.

Tác giả blog kỹ thuật ferstar sau khi dịch ngược client cho biết, chỉ cần người dùng đang trong trạng thái đăng nhập, cơ chế này sẽ chạy, và trong giao diện cũng không có công tắc để tắt việc tải lên.

Một snapshot dự án thương mại mà tác giả tìm thấy có dung lượng khoảng 313MB, danh sách tệp có 42.000 tệp. Trong đó `.git` chiếm 86,6%, bao gồm các đối tượng lịch sử Git, bộ nhớ đệm tệp lớn LFS và reflog. Nói cách khác, thứ được đóng gói không chỉ là mã hiện tại, mà các commit cũ, tệp lớn từng tải xuống và thao tác nhánh cục bộ cũng có thể bị đưa vào cùng. Snapshot này khi đó đã tải lên thất bại 564 lần, vẫn nằm lại cục bộ chờ thử lại.

Chính sách quyền riêng tư chính thức của ZCode hiện chỉ ghi rõ sẽ thu thập văn bản, tệp và mã mà người dùng "gửi trong hội thoại", không đề cập rõ ràng đến toàn bộ kho lưu trữ và lịch sử Git. "Kế hoạch tối ưu hóa" chính thức mặc định tắt, nhưng nó chỉ kiểm soát việc dữ liệu có được dùng để huấn luyện mô hình hay không; ferstar cho biết, tắt tùy chọn này vẫn không dừng việc đóng gói snapshot và tải lên.