智谱 ZCode 被曝静默上传用户整个工作区和完整 .git 历史至阿里云 OSS
terryyuezhuo · x · 2026-09-18
开发者 ferstar 在清理磁盘时发现 /.zcode 占用超 700MB,逆向排查后确认:智谱官方 AI 编程桌面应用 ZCode 在登录状态下会静默打包整个工作区——包括完整 .git 历史、LFS 资源缓存、reflog 和全局配置——加密后上传至阿里云 OSS,单个加密归档达 313MB。
几个关键发现:
- 解密私钥只在云端:加密用的 RSA 公钥由服务器动态下发,用户磁盘上数百 MB 的密文自己无法解密,ZCode 客户端本身也不能。
- 无关闭开关:UI 中没有任何禁用选项。
- 隐私政策零披露:该行为在官方文档中完全未提及。
- 元数据显示某商业项目的工作区归档 failureCount 高达 564 次,说明上传一直在重试。
作者给出了完整的取证过程与证据链,并提供一行命令的永久防御方案。
所属事件:智谱 ZCode 被逆向曝静默上传完整 Git 历史至阿里云 OSS(7 条相关)→
「编程与Agent」频道最新
- 开发者打造 MCP 记忆层:每个应用独立可撤销授权 — EntrepreneurOk5764 · 2026-11-04
- 「evals 就是模糊的单元测试」:AI Engineer 大会 eval 演讲获同行推荐 — TejasKumar_ · 2026-11-04
- 让 Claude Code 自己画 CAD:SOMA 下载破千并发布完整教程 — Lazar988 · 2026-11-04
- 文档抽取过了 POC 之后怎么落地？Reddit 求真实生产管线经验 — Mission-Leave-6551 · 2026-11-04
- LLM-as-judge 该怎么报置信度？开发者拒绝 0-100 分的三条理由 — jokiruiz · 2026-11-04
- Claude Code 做 CAD:开源 SOMA 用户破千,9 分钟设计书架出施工图 — Pr8tham · 2026-11-04