原文標題： 請勿刪減或自創標題，違者4-1處分，此行請刪除 智譜ZCode「偷傳代碼」風波：三天自救與一場信任危機 原文連結： 網址超過一行，請用縮網址，連結不能點擊者板規 1-2-2 處分。 https://www.163.com/dy/article/L7GULD6H0519860S.html 發布時間： 請勿張貼超過3天新聞 2026-09-23 13:02:08 記者署名： 編輯｜靖程 作者｜古月 原文內容： 導語：此事件反映出AI程式設計工具的共同合規風險。服務商需要建立更細化的檔案級和 功能級授權機制。 9月18日晚，一則開發者貼文將港股「大模型第一股」智譜推至輿論風暴中心——其旗下 AI程式工具ZCode被曝在用戶不知情的情況下，把用戶代碼資料上傳到雲端伺服器，事件 引發廣泛關注。 此後三天，智譜連續致歉、整改、開源、引入第三方審計，9月21日股價經歷盤中一度跌 超5%到收盤翻紅的劇烈震盪。然而，開源版本的不完整、資料銷毀缺乏可信驗證、有企業 客戶開始停用等問題，仍讓這家AI公司面臨一場深刻的信任考驗。 313MB加密包撕開安全暗門 事件始於一次尋常的磁碟清理。 9月18日凌晨，ZCode付費用戶、科技部落客ferstar在清 理一台256GB MacBook Air時，發現ZCode目錄佔用超過700MB，其中一個約313MB的加密檔 案引起了他的注意。 ferstar發現的那份313MB商業專案快照其實並未成功上傳——由於檔案過大，它連續失敗 564次，一直停留在本地重試佇列。 他對ZCode客戶端進行逆向分析後發現，ZCode桌面端會在使用者處於登入狀態時，自動將 工作區程式碼打包、加密並上傳至阿里雲OSS儲存服務，相關壓縮套件包含目前專案原始 碼、Git版本歷史、LFS大檔案快取、reflog記錄以及部分全域開發設定檔。 後續他用一個規模較小的公開倉庫進行測試，證實有伺服器接受的快照上傳。 ferstar隨 後公佈完整逆向報告，表示ZCode先前的相關機制與使用者介面中的資料設定並不完全對 應。他認為，即便關閉部分與體驗最佳化或倉庫索引相關的選項，快照擷取和上傳機制仍 可能運作。 「更諷刺的是：加密用的RSA公鑰是服務端動態下發的，私鑰只存在雲端。你本地產生的 那份幾百兆的密文，連你自己和客戶端本體都解不開。」ferstar寫道。 在媒體報道中，一位AI公司首席科學家打了個比方：“相當於你花錢請了一個保潔，保潔 卻在你不知情的情況下，把你家翻了個遍，還把你放在保險箱裡的房產證、銀行卡密碼複 印打包帶走了。” 據觀察者網報稱，該事件一經曝光便在開發者社區迅速發酵，已有近400名開發者在多個 維權群進行維權。 整改、開源與未消逝的疑慮 隨著Anthropic旗下Claude Code取得顯著商業化成功，AI程式設計迅速成為各模型廠商最 重視的賽道之一。要打磨出足夠好的程式設計能力，各方在數據、演算法乃至算力上的投 入都面臨高強度競爭，其中來源合規、品質足夠高且能驗證結果的真實工程數據，尤其構 成壁壘。 在這一背景下，ZCode爭議的另一面，是Coding業務正成為智譜商業化的重要入口。 ZCode是智譜面向開發者市場的AI程式設計產品，透過Harness（模型運作與編排框架） 實現情境管理、工具呼叫、任務調度、快取及結果校驗，以提升模型在真實工程中的表現 。公司今年也藉助產品調整了先前頗受質疑的以私有化部署為主的商業模式，在大模型領 域謀得更好的生態位。 根據東吳證券研報，ZCode上線一個月後，8月中旬，用戶數突破100萬；至9月中旬，用戶 數又成長一倍。 不過，在這過程中，不少模型廠商把主要精力放在程式碼產生效果和使用者成長上，資料 治理、資訊揭露和權限設計卻未得到足夠重視。與傳統程式碼編輯器相比，AI程式設計工 具需要獲得更廣泛的專案上下文，也因此更容易觸及企業原始碼、金鑰和系統配置等敏感 資產。 面對持續發酵的輿論壓力，智譜在三天內推出了一系列補救措施。 9月18日，ZCode發布情況說明，有關資料隱私的爭議由ZCode一個名為「程式碼庫索引」 的功能引發－此功能在上線後為預設開啟狀態。 根據情況說明，程式碼庫索引旨在協助使用者在本機上產生倉庫索引，以支援包括歷史版 本在內的會話檢查點復原、歷史版本回退及RepoWiki等功能。其中，Repo Wiki用於產生 程式碼倉庫的說明文件和知識頁面，在產生Wiki頁面時，可能會觸發倉庫資料上傳。 ZCode表示，Wiki頁面在雲端產生後，相關上傳資料會立即銷毀，不會儲存。由於功能在 上線初期預設為開啟，導致部分使用者受到影響。目前，相關問題已經修復。 同時，智譜公佈了三項初步補救措施：開源ZCode程式碼庫、接受社群監督和邀請第三方 專業機構對系統運作進行安全審查並公佈進度；並為全體ZCode用戶額外提供一次週額度 重置作為補償。 然而開發者提出了質疑，集中在三方面：一是質疑智譜上傳用戶資料的動機；二是有用戶 發現，智譜致歉後，當日凌晨仍能監測到上傳行為；三是智譜銷毀數據的說法沒有第三方 認證，用戶無法確認真實性。 第二天，ZCode就推送了v3.14.0版本，更新日誌寫明「修復倉庫百科異常上傳的問題」。 9月20日晚間，智譜MaaS平台宣布將上線「資料內容不留存」機制。此功能生效後，平台 不再對使用者模型呼叫的輸入、輸出進行靜態存儲，相關資料僅用於完成當次模型呼叫。 智譜同時說明，批次介面、文件管理介面等需要短暫儲存的功能不在涵蓋範圍內，法規要 求留存的情況仍可能保存資料30天及以上。 9月21日，智譜進一步宣布，ZCode已完成安全整改並正式開源，接受社群監督，公司還將 建立常態化的產品安全漏洞回應機制，歡迎開發者持續檢查、回饋問題，並根據問題嚴重 程度給予相應回報。 針對開發者關注的資料去向，智譜承諾社群提及的程式碼資料沒有留存，也從未被用於模 型訓練。 同時，智譜邀請中國資訊通訊研究院和綠盟科技進行安全審計。其中，中國資訊通訊研究 院技術評測確認，zcode-prod阿里雲OSS儲存桶狀態為雲端零資料；ZCode v3.14.0客戶端 已移除Repo Wiki功能，切斷本地倉庫快照產生與上傳連結。綠盟科技審查則確認，相關 儲存桶及全部資料物件均已刪除。 ZCode v3.14.0已移除Repo Wiki入口及產生連結，且 未發現可觸發本機倉庫快照或檔案外發的功能。 然而，開源並未平息所有質疑。有開發者發現，ZCode並沒有完全開放，也同時保留了閉 源版。此外，開源版ZCode無法享有優惠和token福利。 信任裂痕與企業客戶反應 對智譜而言，ZCode風波的核心衝擊不在於技術修復的難度，或許更在於企業客戶信任的 動搖。 根據《經濟觀察報》，一家科技公司創辦人是智譜GLM5.3的用戶，他有一家十幾人的公司 ，80％程式碼都由AI產生。此前8月，他把公司主力模型從DeepSeek遷移到智譜，認為智 譜表現更強、性價比更高。但事件發生後，該創辦人已經禁止所有員工使用ZCode。 “一 個負責任的廠商，應該最大限度地避免客戶的敏感數據往自己系統裡存。” 上述報導還稱，一位用戶在社群平台發文稱，事件發生後，公司把ZCode都封鎖了，甚至 一度把ZCode用於上傳資料的雲端服務商也停用了。 上述AI公司首席科學家雖然排查後確認自己數據未被洩露，但他正在用一台MacBook做本 地部署，涉及個人隱私數據，會在這台MacBook上使用模型分析。未來他會做更多在地化 部署，減少雲端大模型的使用。 上海交通大學資料法律研究中心執行主任何淵對媒體指出，此事件反映出AI程式設計工具 的共同合規風險。隨著相關工具從程式碼補全升級為可以讀取專案、呼叫終端、修改檔案 和操作資料庫的智慧代理，服務商需要建立更細化的檔案級和功能級授權機制。對企業用 戶而言，也應將AI程式工具納入供應商管理和資料安全體系，明確哪些程式碼和資料可以 提交給外部AI工具。 值得注意的是，ZCode並非孤例。今年7月，馬斯克旗下xAI的Grok Build被曝將用戶整個 程式碼倉庫連同Git提交歷史上傳至Google Cloud Storage，上傳資料量約為編碼任務實 際所需資料的27800倍。最終馬斯克公開回應並承諾刪除數據，以Apache 2.0許可證開源 了Grok Build。 放眼市面上的同類AI程式設計工具，官方更新日誌與隱私權政策，在上傳範圍、使用者控 制權和資訊揭露上差異明顯，產業尚未形成清晰、統一的資料處理標準，使用者容易陷入 資訊不對稱。更深層的問題在於，AI能力快速擴張之後，資料治理、產品設計、資訊揭露 與營運管理需同步跟進。這不僅是使用者資料安全與隱私風險，更是全產業必須面對的治 理挑戰。 在媒體頻道中，ZCode最受爭議之處，在於相關功能被指預設開啟，客戶端沒有獨立、明 顯的關閉選項，使用者也無法自行查看或解密已產生的資料包，使用者對資料處理既缺乏 充分知情，也難以有效管理。從產品實現來看，為保障任務效果，上傳部分程式碼資料或 許確有必要，但技術需要不能等同於無限制授權。上傳哪些文件、作何用途、保存多久、 是否進入其他系統、如何刪除，都應在功能啟用前明確告知。 資本市場方面，9月21日智譜股價經歷劇烈震盪：早盤一度跌超5%，午後翻紅，收報794港 元，上漲1.79%。 三天，智譜完成致歉、溯源、整改、開源，反應不可謂不快。但修補軟體容易，修補開發 者和企業客戶的信心卻需要更久。當AI程式工具深度嵌入企業流程，資料治理能力正成為 與模型能力同等重要的競爭力。這不僅是智譜的問題，也是整個AI程式設計賽道必須面對 的課題。 心得/評論： 這起事件與其說是單純疏忽,不如說是把資料上傳被設計成使用者難以察覺,才是 真正令人不安之處;技術能力與資料倫理若脫鉤,信任終將崩塌。 智譜昨天-6.55% 今天-11%左右 --

※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 36.225.63.23 (臺灣) ※ 文章網址: https://webptt.com/m.aspx?n=bbs/Stock/M.1790147108.A.0EF.html ※ 編輯: madeinheaven (36.225.63.23 臺灣), 09/23/2026 15:10:00