ZCode代码库数据争议

RecodeX 重构消息，开发者Ferstar发现，9月18日，其商业代码库被打包成313MB的压缩包，由Z.ai的ZCode工具上传至阿里云存储桶，且该工具未提供关闭上传的选项。

RecodeX 重构消息，智谱旗下编程产品ZCode公布新一轮补偿方案，向付费用户发放8张重置额度。这是ZCode在代码库数据争议后推出的又一项用户补偿措施。

RecodeX 重构消息，智谱ZCode就代码被上传至云端一事致歉，宣布开源相关代码并删除涉事云端数据，同时承诺“你不发起，不上云”。

作为补偿，ZCode向用户赠送多张重置卡和1亿Token。

RecodeX 重构消息，智谱旗下编程工具ZCode被曝在用户不知情的情况下静默上传本地Git历史记录，涉及代码仓库等敏感数据。事件曝光后，已有近400名开发者发起维权。目前智谱方面尚未就此事作出公开回应。

RecodeX 重构消息，有开发者称，其使用Claude CVP审查z.ai的ZCode客户端后，发现生产版本与开源代码库存在差异，并怀疑有源代码被隐藏。该开发者提到的一个疑点是，开源版本不符合配额推广活动的资格。相关说法目前仅为个人审查结论，尚未获得z.ai回应或第三方验证。

RecodeX 重构消息，智谱旗下编程工具ZCode被曝在未明确告知用户的情况下，将用户代码静默上传至阿里云，引发数据出境与合规争议。相关行为被指涉嫌违反《个人信息保护法》，可能面临罚款、下架等责任。

RecodeX 重构消息，ZCode开源后，开发者在其公开源码中发现一处安全问题：该工具将用户登录凭据加密保存在本地，但默认解密密钥可由操作系统、用户名和用户目录直接推算得出，这些信息通常并不难获取。攻击者一旦拿到ZCode保存凭据的文件，即可依据公开源码重新生成密钥，无需破解加密算法。

ZCode官方文档称登录凭据“按设备加密，换机后无法解密”，但源码中的默认方案并未使用设备ID或硬件信息，官方说法与代码不一致。该问题并非可远程凭空盗取凭据的漏洞，攻击者仍需先获取本地凭据文件；用户若自行设置ZCODE_CREDENTIAL_SECRET，也不会走默认密钥。文件一旦泄露，ZCode、Z.ai或BigModel的登录态可能被恢复，进而被冒用账号或消耗Coding Plan额度，但不会导致电脑被入侵。

RecodeX 重构消息，智谱将其ZCode项目开源发布，但该项目的issues板块暂未开放。此前ZCode曾卷入代码库数据争议，此次开源被视为风波后的动作，有网友评论称重建信任并不简单。

RecodeX 重构消息，Z.ai将其编程代理ZCode的桌面端、网页端和命令行界面代码以Apache-2.0许可开源。此前该编程代理被指上传了Git历史记录，引发代码库数据争议。新上线的GitHub仓库未附带安全政策文件。

RecodeX 重构消息，有用户指出，智谱旗下编程工具ZCode存在未经授权上传用户代码的行为，相关代码库数据争议持续引发关注。该事件被视为AI编程工具数据安全问题的又一案例，行业对用户代码被用于模型训练或外传的担忧升温。目前智谱方面尚未就上述指控作出公开回应，事件具体影响范围仍待进一步核实。

RecodeX 重构消息，ZCode宣布已开源，代码将交由社区监督。此前该代码库曾陷入数据争议，此次开源意味着其代码可被社区公开查阅与监督。

RecodeX 重构消息，针对近期围绕AI编程工具ZCode的数据隐私安全争议，智谱方面回应称，ZCode即将正式开源，这是回应外界对ZCode数据处理担忧的第一步，未来还将推动其更彻底地走向社区化，欢迎外界下载、检查代码并参与改进。

在安全性方面，智谱已邀请中国信息通信研究院对ZCode开展安全审计，重点核查数据留存情况，此后将每月公布代码安全审计报告，并建立常态化的产品安全漏洞报告机制，按问题严重等级给予反馈者相应回报。

RecodeX 重构消息，中国人工智能公司智谱AI（Z.ai）旗下编程助手工具ZCode被开发者发现，在未获得用户明确同意的情况下，将本地工作区数据静默上传至外部服务器。

智谱AI已就此致歉并修复该漏洞。开发者表示，此事可能削弱公司声誉，尤其是在网络安全日益成为AI行业核心议题的当下。

RecodeX 重构消息，智谱AI编程工具ZCode被开发者质疑在后台打包并上传用户项目。9月18日，开发者ferstar公开排查结果称，ZCode在本机生成项目副本并反复尝试上传，被打包的内容不仅包括当前代码，还包含保存历次修改的Git历史。

随后其他用户也提供了复查记录，有人发现项目副本已被服务器接受，也有人质疑仓库索引开关能否阻止上传。用户目前追问软件收集这些内容的原因以及如何阻止上传。

RecodeX 重构消息，智谱ZCode代码库数据争议持续发酵，已有企业向相关方发函追责。争议焦点集中在三方面：数据是否出境、私钥由谁掌握、删除操作如何证明。上述问题涉及数据合规与用户资产安全，目前尚无公开的处置结论。

RecodeX 重构消息，太原承明科技发函指控智谱ZCode客户端擅自批量上传其完整代码、密钥等敏感数据，质疑相关修复的实际效果及责任主体归属。承明科技要求对方在10月10日前作出书面回应，并彻底删除已上传的数据。

RecodeX 重构消息，智谱AI旗下代码助手ZCode因默认开启的“代码库索引”功能在用户未充分感知的情况下上传代码数据而引发争议。官方致歉称，上传行为发生在该功能生成Repo Wiki时，相关数据会立即销毁，目前漏洞已修复。

官方同时提出近期开源代码库、邀请第三方独立审查等透明化举措以重建信任，并为所有用户额外提供一次周额度重置。

RecodeX 重构消息，智谱就旗下Zcode被指偷传用户代码一事公开致歉，表示不会保存用户数据，将把相关软件开源，并重置用户额度。此前该工具被质疑未经许可上传代码库内容，引发开发者对数据安全的关注。

RecodeX 重构消息，Z.ai就ZCode上传代码库数据引发的争议作出回应，表示计划将ZCode开源。此前该工具被指上传用户代码库数据，引发开发者社区反弹。

RecodeX 重构消息，研究人员通过逆向工程发现，开发者使用已登录的ZCode桌面应用时，加密的工作区快照会被上传至阿里云OSS。研究指出，该应用并未提供可用的退出选项，用户无法关闭这一上传行为。

RecodeX 重构消息，基于GLM的编码代理ZCode被指会在用户不知情的情况下自动上传其Git历史记录。该行为涉及代码仓库数据外传，可能暴露开发者的提交记录与代码内容。目前相关争议仍在持续，具体上传范围与用途尚未明确。

RecodeX 重构消息，有研究者发现，ZCode将42,411个工作区文件打包上传至云端，压缩包体积达313MB。该压缩包使用由Z.ai持有的密钥加密，而应用内的隐私控制并未阻止打包或重试行为。

RecodeX 重构消息，ZCode就代码库数据争议作出回应，表示相关功能问题已经修复。该争议涉及代码库数据的使用，ZCode未披露更多细节。