原文标题： 请勿删减或自创标题，违者4-1处分，此行请删除 智谱ZCode「偷传代码」风波：三天自救与一场信任危机 原文连结： 网址超过一行，请用缩网址，连结不能点击者板规 1-2-2 处分。 https://www.163.com/dy/article/L7GULD6H0519860S.html 发布时间： 请勿张贴超过3天新闻 2026-09-23 13:02:08 记者署名： 编辑｜靖程 作者｜古月 原文内容： 导语：此事件反映出AI程式设计工具的共同合规风险。服务商需要建立更细化的档案级和 功能级授权机制。 9月18日晚，一则开发者贴文将港股「大模型第一股」智谱推至舆论风暴中心——其旗下 AI程式工具ZCode被曝在用户不知情的情况下，把用户代码资料上传到云端伺服器，事件 引发广泛关注。 此後三天，智谱连续致歉、整改、开源、引入第三方审计，9月21日股价经历盘中一度跌 超5%到收盘翻红的剧烈震荡。然而，开源版本的不完整、资料销毁缺乏可信验证、有企业 客户开始停用等问题，仍让这家AI公司面临一场深刻的信任考验。 313MB加密包撕开安全暗门 事件始於一次寻常的磁碟清理。 9月18日凌晨，ZCode付费用户、科技部落客ferstar在清 理一台256GB MacBook Air时，发现ZCode目录占用超过700MB，其中一个约313MB的加密档 案引起了他的注意。 ferstar发现的那份313MB商业专案快照其实并未成功上传——由於档案过大，它连续失败 564次，一直停留在本地重试伫列。 他对ZCode客户端进行逆向分析後发现，ZCode桌面端会在使用者处於登入状态时，自动将 工作区程式码打包、加密并上传至阿里云OSS储存服务，相关压缩套件包含目前专案原始 码、Git版本历史、LFS大档案快取、reflog记录以及部分全域开发设定档。 後续他用一个规模较小的公开仓库进行测试，证实有伺服器接受的快照上传。 ferstar随 後公布完整逆向报告，表示ZCode先前的相关机制与使用者介面中的资料设定并不完全对 应。他认为，即便关闭部分与体验最佳化或仓库索引相关的选项，快照撷取和上传机制仍 可能运作。 「更讽刺的是：加密用的RSA公钥是服务端动态下发的，私钥只存在云端。你本地产生的 那份几百兆的密文，连你自己和客户端本体都解不开。」ferstar写道。 在媒体报道中，一位AI公司首席科学家打了个比方：“相当於你花钱请了一个保洁，保洁 却在你不知情的情况下，把你家翻了个遍，还把你放在保险箱里的房产证、银行卡密码复 印打包带走了。” 据观察者网报称，该事件一经曝光便在开发者社区迅速发酵，已有近400名开发者在多个 维权群进行维权。 整改、开源与未消逝的疑虑 随着Anthropic旗下Claude Code取得显着商业化成功，AI程式设计迅速成为各模型厂商最 重视的赛道之一。要打磨出足够好的程式设计能力，各方在数据、演算法乃至算力上的投 入都面临高强度竞争，其中来源合规、品质足够高且能验证结果的真实工程数据，尤其构 成壁垒。 在这一背景下，ZCode争议的另一面，是Coding业务正成为智谱商业化的重要入口。 ZCode是智谱面向开发者市场的AI程式设计产品，透过Harness（模型运作与编排框架） 实现情境管理、工具呼叫、任务调度、快取及结果校验，以提升模型在真实工程中的表现 。公司今年也藉助产品调整了先前颇受质疑的以私有化部署为主的商业模式，在大模型领 域谋得更好的生态位。 根据东吴证券研报，ZCode上线一个月後，8月中旬，用户数突破100万；至9月中旬，用户 数又成长一倍。 不过，在这过程中，不少模型厂商把主要精力放在程式码产生效果和使用者成长上，资料 治理、资讯揭露和权限设计却未得到足够重视。与传统程式码编辑器相比，AI程式设计工 具需要获得更广泛的专案上下文，也因此更容易触及企业原始码、金钥和系统配置等敏感 资产。 面对持续发酵的舆论压力，智谱在三天内推出了一系列补救措施。 9月18日，ZCode发布情况说明，有关资料隐私的争议由ZCode一个名为「程式码库索引」 的功能引发－此功能在上线後为预设开启状态。 根据情况说明，程式码库索引旨在协助使用者在本机上产生仓库索引，以支援包括历史版 本在内的会话检查点复原、历史版本回退及RepoWiki等功能。其中，Repo Wiki用於产生 程式码仓库的说明文件和知识页面，在产生Wiki页面时，可能会触发仓库资料上传。 ZCode表示，Wiki页面在云端产生後，相关上传资料会立即销毁，不会储存。由於功能在 上线初期预设为开启，导致部分使用者受到影响。目前，相关问题已经修复。 同时，智谱公布了三项初步补救措施：开源ZCode程式码库、接受社群监督和邀请第三方 专业机构对系统运作进行安全审查并公布进度；并为全体ZCode用户额外提供一次周额度 重置作为补偿。 然而开发者提出了质疑，集中在三方面：一是质疑智谱上传用户资料的动机；二是有用户 发现，智谱致歉後，当日凌晨仍能监测到上传行为；三是智谱销毁数据的说法没有第三方 认证，用户无法确认真实性。 第二天，ZCode就推送了v3.14.0版本，更新日志写明「修复仓库百科异常上传的问题」。 9月20日晚间，智谱MaaS平台宣布将上线「资料内容不留存」机制。此功能生效後，平台 不再对使用者模型呼叫的输入、输出进行静态存储，相关资料仅用於完成当次模型呼叫。 智谱同时说明，批次介面、文件管理介面等需要短暂储存的功能不在涵盖范围内，法规要 求留存的情况仍可能保存资料30天及以上。 9月21日，智谱进一步宣布，ZCode已完成安全整改并正式开源，接受社群监督，公司还将 建立常态化的产品安全漏洞回应机制，欢迎开发者持续检查、回馈问题，并根据问题严重 程度给予相应回报。 针对开发者关注的资料去向，智谱承诺社群提及的程式码资料没有留存，也从未被用於模 型训练。 同时，智谱邀请中国资讯通讯研究院和绿盟科技进行安全审计。其中，中国资讯通讯研究 院技术评测确认，zcode-prod阿里云OSS储存桶状态为云端零资料；ZCode v3.14.0客户端 已移除Repo Wiki功能，切断本地仓库快照产生与上传连结。绿盟科技审查则确认，相关 储存桶及全部资料物件均已删除。 ZCode v3.14.0已移除Repo Wiki入口及产生连结，且 未发现可触发本机仓库快照或档案外发的功能。 然而，开源并未平息所有质疑。有开发者发现，ZCode并没有完全开放，也同时保留了闭 源版。此外，开源版ZCode无法享有优惠和token福利。 信任裂痕与企业客户反应 对智谱而言，ZCode风波的核心冲击不在於技术修复的难度，或许更在於企业客户信任的 动摇。 根据《经济观察报》，一家科技公司创办人是智谱GLM5.3的用户，他有一家十几人的公司 ，80％程式码都由AI产生。此前8月，他把公司主力模型从DeepSeek迁移到智谱，认为智 谱表现更强、性价比更高。但事件发生後，该创办人已经禁止所有员工使用ZCode。 “一 个负责任的厂商，应该最大限度地避免客户的敏感数据往自己系统里存。” 上述报导还称，一位用户在社群平台发文称，事件发生後，公司把ZCode都封锁了，甚至 一度把ZCode用於上传资料的云端服务商也停用了。 上述AI公司首席科学家虽然排查後确认自己数据未被泄露，但他正在用一台MacBook做本 地部署，涉及个人隐私数据，会在这台MacBook上使用模型分析。未来他会做更多在地化 部署，减少云端大模型的使用。 上海交通大学资料法律研究中心执行主任何渊对媒体指出，此事件反映出AI程式设计工具 的共同合规风险。随着相关工具从程式码补全升级为可以读取专案、呼叫终端、修改档案 和操作资料库的智慧代理，服务商需要建立更细化的档案级和功能级授权机制。对企业用 户而言，也应将AI程式工具纳入供应商管理和资料安全体系，明确哪些程式码和资料可以 提交给外部AI工具。 值得注意的是，ZCode并非孤例。今年7月，马斯克旗下xAI的Grok Build被曝将用户整个 程式码仓库连同Git提交历史上传至Google Cloud Storage，上传资料量约为编码任务实 际所需资料的27800倍。最终马斯克公开回应并承诺删除数据，以Apache 2.0许可证开源 了Grok Build。 放眼市面上的同类AI程式设计工具，官方更新日志与隐私权政策，在上传范围、使用者控 制权和资讯揭露上差异明显，产业尚未形成清晰、统一的资料处理标准，使用者容易陷入 资讯不对称。更深层的问题在於，AI能力快速扩张之後，资料治理、产品设计、资讯揭露 与营运管理需同步跟进。这不仅是使用者资料安全与隐私风险，更是全产业必须面对的治 理挑战。 在媒体频道中，ZCode最受争议之处，在於相关功能被指预设开启，客户端没有独立、明 显的关闭选项，使用者也无法自行查看或解密已产生的资料包，使用者对资料处理既缺乏 充分知情，也难以有效管理。从产品实现来看，为保障任务效果，上传部分程式码资料或 许确有必要，但技术需要不能等同於无限制授权。上传哪些文件、作何用途、保存多久、 是否进入其他系统、如何删除，都应在功能启用前明确告知。 资本市场方面，9月21日智谱股价经历剧烈震荡：早盘一度跌超5%，午後翻红，收报794港 元，上涨1.79%。 三天，智谱完成致歉、溯源、整改、开源，反应不可谓不快。但修补软体容易，修补开发 者和企业客户的信心却需要更久。当AI程式工具深度嵌入企业流程，资料治理能力正成为 与模型能力同等重要的竞争力。这不仅是智谱的问题，也是整个AI程式设计赛道必须面对 的课题。 心得/评论： 这起事件与其说是单纯疏忽,不如说是把资料上传被设计成使用者难以察觉,才是 真正令人不安之处;技术能力与资料伦理若脱钩,信任终将崩塌。 智谱昨天-6.55% 今天-11%左右 --

※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 36.225.63.23 (台湾) ※ 文章网址: https://webptt.com/cn.aspx?n=bbs/Stock/M.1790147108.A.0EF.html ※ 编辑: madeinheaven (36.225.63.23 台湾), 09/23/2026 15:10:00