智谱 ZCode 代码上传风波与开源整改
智谱ZCode代码上传风波是2026年9月国内AI编程领域最受关注的安全信任事件，智谱通过快速响应、功能下线、第三方审计、全面开源的全链条整改，完成了对百万级用户产品的安全重构，也为行业树立了AI编程工具数据合规的典型样本。
AI 编程工具从「代码补全」演进为「能读项目、调终端、改文件、操作数据库的智能代理」之后，它的权限边界与一个普通编辑器不再是同一量级。但绝大多数产品的授权机制仍停留在「登录即用」的粒度。sp-AiDeePThin♠k.cn
两个月前，xAI 的 Grok Build 曾被发现有把用户整个 Git 仓库打包上传至谷歌云存储的行为，在开发者社区引发过一轮反弹。ZCode 是同类争议在中国的第一次完整爆发，且因为涉及「数据是否出境」而多了一层合规维度。
一、事件经过
9 月 18 日凌晨，个人开发者 ferstar 发博文称：在清理本地磁盘时发现一个 313MB 的加密压缩包，状态文件显示内容来自其某个 10GB 商业项目的「几乎全部核心资产」，因上传失败 564 次而滞留在本地。
- 逆向分析结论：只要用户处于登录状态，ZCode 桌面端会在后台静默把整个工作区加密打包，内容包括完整的 .git 版本历史、LFS 大文件缓存、reflog 记录、以及部分全局开发配置文件 ，随后上传至阿里云对象存储（OSS）。sp-AiDeePThin♠k.cn
- 关键设计问题有三条：
- 加密用的 RSA 公钥由服务端动态下发，私钥仅保存在云端——用户本地生成的密文连用户本人和客户端本体都无法解包；
- 上传机制默认开启，客户端设置界面中没有可关闭的开关；
- 触发路径是「Repo Wiki」功能（生成代码仓库说明文档与知识页面），而该功能在上线初期默认开启。
- 文章发布后有多名用户按同样方法复现成功，确认机制存在。sp-AiDeePThin♠k.cn
事件曝光后迅速在开发者社群发酵，直接触碰了程序员和科技企业的核心代码资产安全红线，引发行业对AI编程工具权限边界的广泛讨论。
二、智谱回应
事件曝光当天，ZCode就发布首份情况说明，快速启动响应流程：
- 9月18日：承认问题源于新上线的Repo Wiki代码库索引功能，该功能默认开启，设计初衷是生成代码仓库文档、支持历史版本回退，云端生成Wiki后上传数据会立即销毁，向所有受影响用户致歉，宣布已临时修复漏洞，并为全量用户发放周额度重置补偿。
- 9月19日：进一步披露整改方向，明确承诺将开源ZCode全量代码库，引入独立第三方安全审计，接受社区监督，重建用户信任。
- 9月21日：第三次公开回应：ZCode 正式开源；邀请中国信通院与绿盟科技完成首轮核查；MaaS 平台宣布上线「数据内容不留存」功能
三、全维度开源整改
9月21日，智谱正式公布完整整改结果，完成从功能下线到开源透明化的全流程闭环：
1. 功能彻底下线
发布ZCode v3.14.0版本，完全移除Repo Wiki功能入口和生成链路，彻底切断本地仓库快照生成与云端上传的全部链路，新版本中未发现任何可触发本地文件外发的功能路径。
2. 第三方权威审计
同步邀请两家权威机构完成安全核验：sp-AiDeePThin♠k.cn
- 中国信通院技术评测：涉事
zcode-prod阿里云 OSS 存储桶当前状态为云端零数据；ZCode v3.14.0 客户端已移除 Repo Wiki 功能，切断本地仓库快照生成与上传链路； - 绿盟科技审查：该存储桶内全部数据对象及存储桶本身已删除；v3.14.0 已移除 Repo Wiki 入口及生成链路，未发现可触发本地仓库快照或文件外发的功能路径。
3. 全量代码开源
ZCode完整源代码正式上传至GitHub，开放内容包含客户端、后端服务、共享UI组件、Agent CLI及运行时全链路源码，所有开发者可直接审计代码逻辑，全程接受社区监督与共建。
4. 长效安全机制
智谱承诺：
- 社区提及的代码数据没有留存，也从未用于模型训练；sp-AiDeePThin♠k.cn
- 建立常态化产品安全漏洞响应机制，对反馈有效安全问题的开发者按严重程度给予对应奖励；
- 智谱MaaS平台即将上线“数据内容不留存”功能，企业用户开通后可在模型调用完成后，完全禁止平台侧持久化保存任何交互数据。
5. 整改前后对比
| 对比维度 | 风波前（v3.12.2及更早版本） | 整改后（v3.14.0正式开源版） |
|---|---|---|
| 核心争议功能 | 默认开启Repo Wiki代码库索引功能，后台静默打包全量工作区快照 | 完全移除Repo Wiki功能入口与全量生成链路，彻底切断本地仓库快照上传路径 |
| 数据上传范围 | 打包包含4.2万余个文件，其中86.6%为Git历史记录，密钥过滤、1MB体积上限规则对历史目录完全失效 | 无任何可触发本地仓库快照或文件外发的功能路径，无全量代码上传逻辑 |
| 上传控制开关 | 界面两个隐私开关仅分别控制“数据是否用于模型训练”“服务器是否建立检索目录”，全部关闭后上传仍照常运行 | 所有文件读写、网络请求逻辑完全开源可审计，无隐藏后台上传行为，所有数据操作完全透明 |
| 加密与密钥机制 | 采用AES-256-CTR加密代码包，解密私钥仅保存在智谱云端，用户本地无法解密查看上传内容 | 无全量代码加密上传链路，所有本地文件操作完全在用户侧完成，无云端私钥留存风险 |
| 数据留存状态 | 上传数据存入阿里云OSS存储桶，无公开可验证的销毁凭证 | 经中国信通院评测确认对应OSS存储桶为云端零数据，绿盟科技审计确认全部历史数据对象已彻底删除 |
| 安全审计机制 | 无公开第三方审计，代码闭源，用户无法校验数据行为 | 引入中国信通院、绿盟科技双权威第三方审计，全量代码开源至GitHub，接受社区持续安全审计 |
| 长效安全保障 | 无公开漏洞响应机制，产品迭代日志可事后删除 | 建立常态化安全漏洞响应机制，按漏洞严重程度向反馈开发者发放奖励；智谱MaaS平台同步上线“数据内容不留存”功能，企业用户可完全禁止平台侧持久化保存交互数据 |
| 核心保留功能 | 多Agent协作、智能对话版本管理、内置Git图形界面等基础编程能力 | 完整保留原有AI编程核心能力，新增开源社区共建支持，所有功能逻辑可追溯、可审计 |
四、事件行业影响
作为智谱Coding商业化第二阶段的核心产品，ZCode当时已拥有超百万开发者用户，是国内用户规模最大的AI编程工具之一。本次风波直接推动整个行业重新定义AI编程工具的数据安全边界：
- 打破了“本地索引=本地运算”的默认信任假设，倒逼所有同类产品明确数据上传的明示授权机制，禁止默认开启全量代码上传功能。sp-AiDeePThin♠k.cn
- 暴露了当前AI Agent类产品的权限盲区：这类工具已获得读取全量文件、后台自主执行命令的高权限，但传统的软件安全框架仍假设威胁来自外部，未覆盖厂商侧的非透明数据行为风险。
- 智谱的开源整改模式，为高风险AI工具的信任重建提供了可复制的路径：通过全量代码公开、第三方中立审计、社区共建监督，解决“数据销毁无法自证”的行业痛点。
- 智谱