我的編碼紀錄竟然被偷偷傳送到雲端？ZCode 的隱密數據外洩爭議

AI Summary

經鑑識分析證實，AI 編碼工具 ZCode 會將使用者的整個專案 Git 紀錄加密，並偷偷上傳至阿里雲 (Aliyun OSS)。

試想一下，如果你花了好幾個月熬夜完成的專案，其中所有的修改紀錄、過去的錯誤，甚至偶爾混入程式碼中的敏感設定資訊，都在你不知情的情況下被傳送到別人的伺服器，你會有什麼感覺？最近，AI 編碼工具「ZCode」的使用者之間就爆發了這樣的恐怖疑雲。

ZCode 是 Z.AI 以 GLM 模型為基礎所開發的官方桌面 AI 編碼代理工具 [Source 4, Source 5]。這款曾因功能便利而備受矚目的工具，如今因涉嫌在未經授權下傳輸使用者數據，在開發者社群中引發了巨大震撼。

你可能會想：「只不過是分享一些程式碼，有什麼關係？」但對開發者而言，Git（管理程式碼修改紀錄的系統）紀錄不僅僅是檔案那麼簡單。其中不僅包含專案的完整結構，還可能混有不小心包含的密碼、存取權杖（認證資訊）、個人開發習慣，甚至是企業內部機密。

在使用者未明確同意的情況下，將這些敏感數據傳送到外部伺服器，構成極其嚴重的安全威脅。特別是這次的疑雲顯示，即使是 UI 上提供的「禁止數據傳輸」開關，可能也無法正常運作，這從根本上摧毀了開發者對該工具的信任 [Source 14]。

如果用個比喻來說，就像你安裝了一個「智慧 AI 日記本 App」來幫助你寫日記。然而，當你在寫作的同時，這個 App 卻偷偷將你日記本後面隱藏的「舊日記」、甚至是已經撕掉丟棄的「便條紙碎片」全部複製，並送到了別人的倉庫裡。

根據鑑識審查（分析數位資訊以尋找證據的過程），ZCode 3.12.3 版本生成了一個高達 748 MiB 的加密快照。令人震驚的是，該數據中 98.9% 皆為 Git 相關資訊 [Source 17]。換句話說，它並非只擷取編碼過程中所需的部分，而是將你專案的整個足跡全盤帶走。

最大的問題在於 ZCode 的態度。其官方隱私權政策僅表示會收集「對話中提交的文字、檔案與程式碼」，完全沒有提到會收集整個專案儲存庫或 Git 紀錄 [Source 16]。

目前已知的是，ZCode 會將使用者的工作區 (Workspace) 打包並加密，上傳至阿里雲 (Aliyun OSS) [Source 1]。甚至有些使用者是因為看到反覆出現的「上傳失敗」訊息，才發現了這種異常的傳輸行為 [Source 16]。

這起事件再次將 AI 開發工具帶來的便利性背後所隱藏的「透明度」問題推上檯面。現在的開發者生活在一個不僅要評估工具性能，還必須詳細檢視該工具如何處理自己電腦（本地環境）數據的時代。

接下來我們將持續關注 Z.AI 是否會針對此事給出透明解釋並改進數據收集方式，還是會有許多開發者選擇轉向更安全的替代方案。在使用 AI 編碼工具時，務必養成檢查數據隱私設定與網路流量的習慣。

參考資料

Share this article:

測試你的理解

Q1. ZCode 被指控偷偷上傳使用者的哪些數據？

ZCode 被指控將包含 Git 紀錄、reflogs、LFS 快取等在內的整個專案工作區進行加密並傳輸。

Q2. ZCode 的官方隱私權政策如何說明數據收集？

官方政策僅提及收集對話中提交的文字、檔案與程式碼，並未說明會上傳整個儲存庫。

Q3. ZCode 將數據上傳至哪種雲端服務？

分析顯示，ZCode 正在將數據傳輸至阿里雲 (Aliyun OSS)。