Z.ais kodeagent ZCode laster i det stille opp hele Git-historikken din

«En nøkkel som bare serveren kan bruke, har nøyaktig ett formål: å sørge for at serveren kan lese koden din når den vil.» Slik konkluderer utvikleren ferstar etter å ha tatt fra hverandre ZCode, skrivebordsappen for KI-koding fra Z.ai, selskapet bak de åpne GLM-modellene. Ifølge gjennomgangen, som Tokenstead har oppsummert, pakker appen hele arbeidsområdet ditt så lenge du er innlogget: komplett .git-historikk, LFS-cache, reflogs og globale appinnstillinger. Arkivet krypteres og lastes opp til Aliyun OSS, lagringstjenesten til Alibaba Cloud.

I ferstars eget tilfelle ble et kommersielt arbeidsområde på 345 MB og 42 411 filer til et kryptert arkiv på 313 MB, med 564 mislykkede opplastingsforsøk i loggen. Hele 86,6 prosent av innholdet var .git-mappen. Det er ikke bare filene du har åpne, men hele repoets historikk: API-nøkler som ble slettet i en senere commit, navn på upushede brancher og interne vertsnavn fra .git/config.

Krypteringen er det som gjorde funnet til en sak. Innholdet krypteres med AES-256-CTR, og nøkkelen pakkes inn med en offentlig RSA-nøkkel som serveren sender ved hver opplasting. Den private nøkkelen finnes bare hos Z.ai, så verken du eller ZCode-klienten kan dekryptere arkivet som ligger på din egen disk.

Innstillingene stopper det ikke. Bryteren «Optimize Experience» styrer bare om data kan brukes til modelltrening, og «Repo Snapshot Indexing» styrer bare om serveren indekserer øyeblikksbildene. Opplastingsprosessen startes uansett ved oppstart, og én aktiv sesjon ga 62 innsamlinger, før hver prompt og når en oppgave ble fullført. Personvernerklæringen nevner tekst, filer og kode du sender inn i samtaler, men ikke opplasting av hele arbeidsområder.

Ferstars innlegg på X passerte 276 000 visninger. En konto knyttet til ZCode-teamet svarte «hey I am sorry to let you find it», mens Z.ais offisielle konto ikke hadde svart da Tokenstead publiserte.

«Mitt råd har vært, og er fortsatt: IKKE stol på KI-kodeverktøy med lukket kildekode.» — Petri Kuittinen, utvikler av en åpen KI-agent

Poenget for deg som kjører GLM lokalt: vektene er åpne, men ZCode er det ikke. Flere i diskusjonstrådene trodde appen var åpen kildekode fordi modellene er det. En lokal modell pakket inn i en app som sender hele repoet ditt ut, er ikke lokal.

Hva bør du gjøre?

1. Slett og lås mappen på filsystemnivå. På Linux kjører du rm -rf ~/.zcode/v2/checkpoints, mkdir -p ~/.zcode/v2/checkpoints og sudo chattr +i ~/.zcode/v2/checkpoints. På macOS bytter du siste steg med chflags uchg ~/.zcode/v2/checkpoints. Å bare slette arkivet hjelper ikke: klienten pakket et nytt på 313 MB innen en halvtime.
2. Regn med at tilbakerullingen (checkpoint rollback) slutter å virke. Chat, autofullføring og verktøykall fungerer som før, og du angrer med chattr -i eller chflags nouchg.
3. Har du brukt ZCode på et repo med hemmeligheter i historikken, bør du rotere nøklene. De kan ligge i arkiver som allerede er lastet opp.