ZONE.CI 全球网

智谱AI编程工具ZCode被曝在用户不知情下将本地完整代码仓库及Git历史打包加密上传至阿里云OSS，两个设置开关均无法阻止上传，涉及4万余文件。智谱致歉并修复，第三方审计确认云端零数据，但企业用户仍发函追责，股价跌超4%。建议开发者关注AI编程工具数据权限边界，服务商应明确告知上传范围并提供可验证删除机制。

旧版ZCode客户端存在完整工作区快照上传行为，313MB加密包涉及Git历史与本地配置，官方确认并修复但外部无法验证历史数据删除。建议用户升级至3.14.0以上版本、轮换仓库中曾出现的凭据、检查本地异常文件与网络连接，并建立AI编程工具准入规则。

智谱AI编程工具ZCode被曝静默打包上传用户工作区数据，含Git历史、密钥等敏感信息至阿里云OSS，引发近400名开发者维权。智谱已发布v3.14.0修复并开源接受监督，但市场信心受损。建议用户立即升级版本、轮换Git历史中的密钥凭据，并将AI编程工具纳入供应商安全评估。

本文围绕ZCode事件展开，揭示AI编码工具存在静默上传用户代码库的数据安全风险，并延伸至GrokBuild等类似案例。作者提出基于蜜饵文件的主动防御监控方案，通过投放带唯一标记的假文件、观测文件访问行为并归因进程，以检测AIAgent的越权数据读取。文章强调数据边界应由代码决定而非声明，建议用户自查工具行为并采取技术手段兜底安全。

文章总结： 智谱AI编程工具ZCode被曝在用户不知情下将本地工作区全量快照（含代码、完整Git历史、LFS缓存等42411个文件）加密上传至阿里云OSS，两个

文章总结： 智谱AI编程工具ZCode被曝在用户不知情下将本地完整代码仓库及Git历史打包加密上传至阿里云OSS，两个设置开关均无法阻止上传，涉及4万余文件。智