智谱ZCode打包代码仓库？从AI资讯看大模型开发工具隐私危机

type

status

date

slug

summary

事件始末：从惊艳到惊吓的ZCode体验

智谱的GLM 5.3模型在代码能力上确实表现出色，其配套的Agent工具ZCode也一度被许多开发者认为是国产AI里少有的、让人愿意主动付费的优秀产品。然而，美好的体验在9月中旬戛然而止。

有安全研究人员在清理磁盘时偶然发现，本地的 ~/.zcode 目录竟然占用了高达七百多兆的空间。顺藤摸瓜之下，一个令人震惊的操作浮出水面：ZCode在后台静默对工作区进行快照打包，其中包含了完整的 .git 历史记录，并将整个打包文件加密后上传至云端OSS，而本地甚至没有保留解密密钥。

许多开发者最初对此持怀疑态度，毕竟在LLM领域，强行抓取用户本地全量代码库是一种极其敏感的行为。但经过多方使用claude等工具辅助进行本地代码静态分析和取证后，结论令人遗憾：这不仅是真实的，而且是正在发生的。部分快照文件清单显示，.git 目录的字节占比甚至高达93.9%至98.5%。

深度剖析：ZCode到底在后台干了什么？

要理解这起AI资讯的核心，我们需要深入ZCode的客户端逻辑。在日常使用中，当开发者发送提示词（Prompt）或任务结束时，客户端会触发快照入口。

相关流程会向服务端申请上传凭证，获取服务端提供的加密公钥、大小限制等信息。随后，客户端按规则扫描工作区文件，进行压缩和AES加密，并使用服务端的RSA公钥进行信封加密。最终，这些密文会被提交到云端存储。

最让开发者感到不安的是，在整个使用过程中，用户并没有收到关于快照范围和上传去向的明确提示。虽然在客户端的记录中可以发现文件体积超出限制导致重试失败的日志，但这反而证明了该机制一直在后台尝试将庞大的工程文件（包括包含敏感信息的Git对象）搬运至云端。

越线的三大核心问题：范围、钥匙与开关

判断一个人工智能工具是否尊重用户隐私，关键在于三个维度。而在这三个维度上，ZCode的设计都引发了巨大的争议：

第一，数据采集范围远超必要性。AI推理确实需要上下文，但ZCode获取的不是当前任务相关的文件，而是整个仓库的全部历史。在文件筛选逻辑中，.git 目录的放行优先级极高，甚至绕过了1MB的体积上限和部分密钥过滤规则。这意味着，哪怕开发者曾经不小心提交过私钥，后来用 git rm 删除了，这些敏感凭据依然会随着 .git/objects 被原样打包上传。

第二，解密钥匙不在用户手中。虽然数据传输使用了标准的信封加密，但加密公钥由服务端提供，本地没有任何可以独立恢复密文的私钥。这说明该功能并非为用户提供“云端备份”或“跨设备同步”，因为备份的第一原则是数据所有者能够自行恢复。这种单向的数据采集，让用户失去了对自身代码的控制权。

第三，缺乏有效的关闭开关。虽然ZCode设置中有一项“仓库快照索引”，但代码分析表明，该开关并未真正控制后台的采集链路。采集的决定权完全掌握在服务端：客户端无条件申请凭证，服务端下发凭证即开始采集。用户在本地既无法拒绝，也收不到任何失败或成功的显式提示。这甚至与ZCode自身隐私政策中“通过对话提交（through conversation）”的描述相冲突。

历史重演：大模型厂商为何屡次翻车？

这并非大模型开发工具第一次在隐私问题上翻车。就在今年7月，xAI旗下的Grok Build命令行工具也被曝出类似行为：即使开发者在Prompt中明确要求不要读取文件，它依然会将整个仓库打包成git bundle上传。事件曝光后，马斯克团队迅速在服务端关停了上传，并承诺删除数据。

在全球开发者刚刚为Grok事件愤怒抗议仅仅两个月后，国内头部的AI厂商再次重蹈覆辙。这不禁让人反思：在追求模型能力迭代和海量训练数据的过程中，厂商是否忽视了最基本的安全合规底线？在日常浏览我们的AI日报时，我们经常看到各家厂商在算力与模型参数上内卷，但在用户隐私保护的敬畏心上，整个行业仍有很长的路要走。

开发者的数据安全保卫战与反思

对于依赖LLM进行开发的工程师来说，免费的Token或低廉的订阅费绝不应以出让核心代码资产为代价。面对此类事件，开发者应采取果断的处置措施：

停用并隔离：在官方给出明确解释和彻底修复前，建议在主力开发环境中限制相关Agent程序的联网权限，涉及公司机密或核心开源项目的仓库应坚决避免使用此类工具。

全面排查凭据：检查本地 .zcode 等隐藏目录，清理未完成的密文快照。更重要的是，对于曾经在Git历史中出现过的任何敏感凭据（如API Key、签名私钥等），必须进行全面的轮换和作废处理。

关注底层逻辑：本地AI算的是政治账，不是经济账。在数据安全面前，开发者必须清楚地知道哪些字节离开了局域网。

结论与展望

智谱GLM模型的技术实力毋庸置疑，但优秀的模型不应被越界的客户端行为所连累。厂商需要正面回应开发者的四大诉求：解释快照机制的真实用途、提供默认关闭且清晰明了的控制开关、公开已收集数据的处理方式，并确保产品行为与隐私政策严格对齐。

在AGI加速到来的时代，AI变现与生态建设必须建立在信任的基础之上。每一次不告而取，都是对开发者信任的严重透支。

获取更多关于大模型安全、openai动态以及最前沿的AI新闻，欢迎每日访问 AIGC大模型导航。我们将持续为您追踪行业热点，守护您的AI探索之旅。