智譜以 Apache 2.0 開源 ZCode 稱已修補靜默上傳問題

智譜開源 ZCode，稱已修補靜默上傳問題

智譜（Z.ai）周一（21 日）宣布，以 Apache 2.0 授權開源旗下 AI 編程應用 ZCode，並稱已完成相關的安全修補。據《英文虎報》報道，智譜表示已把程式碼交由社群檢視，令 ZCode 更開放、更透明。

上周四（18 日），開發者 ferstar 發表逆向分析，指 ZCode 在用戶登入後，會自動把整個工作目錄連同 .git 版本歷史加密上傳至阿里雲對象存儲。詳情可參閱本站早前報道〈ZCode 靜默上傳整個工作目錄 私鑰只留在雲端〉。

開源範圍包括桌面版、網頁版及終端機代理

據 RuntimeWire 報道，新公開的程式碼庫以 Apache 2.0 授權發佈，包括 ZCode 的 Electron 桌面應用、瀏覽器介面、終端機代理、後端服務、共用介面元件及代理運行環境。

不過，程式碼庫在發佈當日只有兩次提交，顯示智譜是一次過發佈整理後的程式碼，而非公開產品背後的開發歷史；RuntimeWire 又指，程式碼庫發佈時沒有附上安全政策。

智譜：資料沒有保留，亦從未用於訓練

智譜表示，相關資料沒有保留，亦從未用於訓練模型。公司又稱，日後會設立持續的產品安全漏洞通報及回應流程，歡迎開發者繼續檢視 ZCode 及通報問題，並會按問題的嚴重程度給予獎勵。

據 Tom's Hardware 報道，智譜早在上周五已經致歉，稱已修正在未經同意下上傳用戶檔案的問題，並向用戶保證已上傳至雲端的資料已被銷毀。

開源無法核實伺服器端的處理

RuntimeWire 指，開源令開發者可以檢查 ZCode 的客戶端，但無法核實伺服器端有否保留資料、加密私鑰由誰保管，以及智譜所稱的修補範圍。按 ferstar 的分析，快照以伺服器下發的公鑰加密，對應的私鑰由智譜掌握，用戶無法解開儲存在自己電腦上的加密檔案。

ferstar 在一次實測中記錄到，ZCode 把一個 345.5MB 的商業項目、共 42,411 個檔案打包成 313MB 的加密壓縮檔，.git 目錄佔整個負載的 86.6%；本機紀錄顯示，同一個快照曾嘗試上傳 564 次，全部失敗。

股價一度跌近 6%

智譜在香港上市，股份代號 2513。據《英文虎報》報道，智譜股價周一一度下跌近 6%，收市反升 1.8%。

來源

• Z.AI open-sources ZCode after coding tool uploads local data silently（The Standard）
• Z.ai open-sources ZCode after its coding agent uploaded Git histories（RuntimeWire）
• Devs say Chinese AI company silently uploaded hundreds of megabytes of local workspace data, company apologizes（Tom's Hardware）