文章总结： 智谱AI编程工具ZCode被曝存在后台静默上传用户完整工作区数据至阿里云OSS的事件。智谱两次回应致歉，确认问题源于代码库索引功能，已修复并开源代码，邀请中国信通院与绿盟科技评估，确认相关数据已删除且未用于模型训练。建议用户关注官方安全公告，及时更新版本。
综合评分： 65
文章分类： 数据泄露,安全大事件
智谱ZCode“偷传”数据风波全回顾
赛博研究院
2026年9月22日 17:59
上海
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
9月18日，用户ferstar爆料，智谱旗下AI编程工具ZCode存在后台静默上传行为，该工具会将包含完整.git历史、LFS大文件缓存、reflog以及全局应用配置在内的用户完整工作区打包加密后，上传至阿里云OSS。
根据爆料者复现的上传流程，整个流程分为两步：
- 第一步，客户端先向协调服务器申请凭证：向https://zcode.z.ai（代码中的VITE_ZCODE_ENDPOINT_ORIGIN）发起请求，服务端返回OSS表单签名（policy、x-oss-signature）、动态分配的Object Key、文件大小限制，以及本次加密所用的公钥；
- 第二步，通过表单直接将数据上传至OSS：客户端在本地完成打包与流式加密后，数据不经过智谱自有业务服务器，直接通过HTTP POST表单将tar.gz.enc加密文件上传至阿里云OSS，上传完成后由OSS服务端触发callback，通知智谱后端完成登记。
（上述复现流程及图片来自ferstar播客）
该消息曝光后迅速在开发者社区传播，引发广泛讨论。当日，ZCode通过智谱官方群组向受影响用户致歉，并发布初步回应称，已第一时间完成自查，相关问题已经修复。
(图源：IT之家)
智谱的初步声明显示，本次问题源于ZCode的“代码库索引”功能。该功能的设计目标是在本地生成仓库索引，用于支持包含历史版本在内的会话检查点恢复、历史版本回退，以及Repo Wiki等功能。
Repo Wiki在生成Wiki页面的过程中，有可能触发仓库数据上传；云端生成Wiki页面后，相关上传数据会立即销毁，不会留存。因该功能上线初期默认开启，导致部分用户受到影响，智谱对此致歉并完成了问题修复。
同时智谱提出，计划开源ZCode代码库，引入第三方评估人员审查系统运行情况，持续公开审查进展，以透明方式重建用户信任。但此事并未就此平息。9月19日，某公司公开发函，就ZCode涉嫌擅自上传该公司数据资产及商业秘密一事，向智谱提出多项整改与问责要求。
(图源：界面新闻)
该公司指出，ZCode的上传行为为自动触发、批量执行，上传的数据不仅限于普通代码片段，还包含项目完整源代码、系统架构设计、员工个人信息等完整归档文件，已经超出ZCode《隐私政策》载明的数据收集范围，该公司保留采取进一步法律行动的权利。
9月21日，智谱再次针对社区反馈的ZCode产品安全问题发布回应，再次向全体用户诚挚致歉。智谱称，已将ZCode代码对外发布github.com/zai-org/ZCode，开放代码供社区监督审查，提升产品开放透明度。
官方表示将建立持续性的产品安全漏洞报告与处理机制，鼓励开发者审查ZCode并上报潜在安全问题，并将依据漏洞严重程度给予对应奖励。
智谱在本次回应中确认，社区提及的相关代码数据均没有留存，也从未用于模型训练。修复完成后，智谱邀请中国信息通信研究院、绿盟科技开展安全评估。评估结果显示：
-
中国信息通信研究院确认zcode-prod阿里云OSS仓库当前无数据；ZCode v3.14.0版本已完成安全修复，Repo Wiki功能已移除，本地仓库快照生成与上传工作流程被禁用。
-
绿盟科技确认，zcode-prod项目阿里云OSS存储桶内全部数据对象已删除，存储桶已清空；在v3.14.0版本中，相关修复全部落地，Repo Wiki相关条目和生成流程已移除，不存在可触发生成本地仓库快照或向外传输本地文件的功能路径。
智谱表示，后续将发布完整安全评估报告，并再次向公众致歉，欢迎社区持续监督。
文章参考来源｜IT之家、界面新闻、环球网、凤凰网等，以及互联网公开信息，不代表作者立场。
赛博研究院简介
上海赛博网络安全产业创新研究院（简称赛博研究院），是上海市级民办非企业机构，成立至今，赛博研究院秉持战略、管理和技术的综合服务模式、致力于成为面向数字经济时代的战略科技智库、服务数据要素市场的专业咨询机构和汇聚数智安全技术的协同创新平台。
赛博研究院立足上海服务全国，是包括上海市委网信办、上海市通管局、上海市经信委、上海市数据局等单位的专业支撑机构，同时承担上海人工智能产业安全专家委员会秘书长单位、上海“浦江护航”数据安全工作委员会秘书长单位、上海数据安全协同创新实验室发起单位等重要功能，并组织“浦江护航”数据安全上海论坛、世界人工智能大会安全高端对话等一系列重要专业会议。
欢迎联络咨询：
电话：021-61432693。
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：赛博研究院 《智谱ZCode“偷传”数据风波全回顾》