私のコーディング履歴がクラウドにこっそり送信されている？ZCodeの密かなデータ流出問題

AI Summary

AIコーディングツール「ZCode」が、ユーザーのプロジェクト全体のGit履歴を暗号化し、アリババクラウド（Aliyun OSS）へ不正にアップロードしている事実が、フォレンジック分析により判明しました。

想像してみてください。数ヶ月間、夜を徹して作り上げたプロジェクトの全修正履歴、過去の失敗、そしてコードの中に誤って混入してしまったかもしれない機密設定情報が、知らないうちに誰かのサーバーへ送信されていたとしたら、どう感じますか？最近、AIコーディングツール「ZCode」を使用する開発者たちの間で、まさにこのような恐ろしい疑惑が浮上しています。

ZCodeは、Z.AIがGLMモデルをベースに開発した公式デスクトップAIコーディングエージェントです [Source 4, Source 5]。便利な機能で注目されていたこのツールが、ユーザーに無断でデータを送信しているという事実は、開発者コミュニティに大きな衝撃を与えています。

なぜこれが問題なのか

「自分のコードを少し共有するくらい大したことではない」と思うかもしれません。しかし、開発者にとってGit（コードの変更履歴を管理するシステム）の履歴は単なるファイル以上のものです。そこにはプロジェクト全体の構造だけでなく、誤って含まれたパスワードやアクセストークン（認証情報）、個人的な開発習慣、さらには企業の内部機密までもがすべて含まれている可能性があるからです。

ユーザーが明確に同意していない状態で、こうした機密データが外部サーバーへ送信されることは非常に深刻なセキュリティ上の脅威です。特に今回の疑惑は、UI上で提供されている「データ送信防止」のトグルスイッチすら適切に機能していない可能性を示唆しており、開発者の信頼を根底から揺るがしています [Source 14]。

わかりやすい比喩

例えるなら、日記を書くために「賢いAI日記アプリ」をインストールしたと想像してください。このアプリは、あなたが文章を書くのを手伝ってくれます。ところがこのアプリは、あなたが文章を書いている間に、日記の背後に隠された「古い日記」や、すでに破り捨てた「メモの断片」までをもすべてコピーして、どこかの倉庫に送りつけていたようなものです。

フォレンジックレビュー（デジタル情報を分析し証拠を探す過程）の結果によると、ZCode 3.12.3バージョンは、なんと748 MiBというサイズの暗号化されたスナップショットを生成していました。驚くべきことに、このデータの98.9%がGit関連情報でした [Source 17]。つまり、コードを書く過程で必要な部分だけを持っていくのではなく、プロジェクトの全軌跡をそっくりそのまま持ち出していたのです。

現在の状況

最大の問題はZCode側の態度です。公式のプライバシーポリシーには「対話中に提出されたテキスト、ファイル、コード」を収集するとしか書かれていません。プロジェクトのリポジトリ全体やGit履歴を収集するという言及はどこにもありません [Source 16]。

現在確認されている情報によると、ZCodeはユーザーの作業環境（ワークスペース）をパッケージ化して暗号化し、アリババクラウド（Aliyun OSS）へアップロードしています [Source 1]。一部のユーザーは、アップロード失敗のメッセージが繰り返し表示されることで、この異常な送信の試みを発見しました [Source 16]。

今後の展望

この事件は、AI開発ツールが提供する圧倒的な利便性の裏側に隠された「透明性」の問題を、再び浮き彫りにしました。今や開発者は、ツールの性能だけでなく、そのツールが自分のコンピュータ（ローカル環境）のデータをどこまで、どのように取り扱うかを慎重に見極めなければならない時代に生きています。

今後、Z.AI側が今回の事態に対して透明性のある説明を行い、データ収集方法を改善するのか、あるいは多くの開発者がより安全な代替手段を求めて離れていくのかを見守る必要があります。AIコーディングツールを使用する際は、常にデータプライバシーの設定とネットワークトラフィックを一度チェックする習慣を持つことが不可欠です。