被曝「偷传」代码的第 5 天,ZCode 选择把源码全交出来

老金说增长

AI 深度 · 不追热点追信号

被曝「偷传」代码的第 5 天，ZCode 选择把源码

全交出来

313MB 上传包 · 五天开源自救 · 夜窗延期到 10 月 7 日

开源是诚意，审计才是答卷

👆 阅读之前记得关注+星标 ⭐️，😀，每天才能第一时间接收到更新

我是老金，一个连续创业者。

每一篇都在帮你做一件事：从噪音里找到信号，从事件里拆出判断。

不做资讯搬运，只做深度判断。

先说一句：我自己每天就在用 ZCode 干活，写这篇文章之前，我也用了一些提示词查我自己的文件是否有上传记录，没想到是真的有：

▎一、事情是怎么被发现的：一次清理磁盘引发的地震

不是安全公司，不是媒体，是一位开发者清理磁盘时的偶然发现。

开发者 ferstar 发现~/.zcode 目录悄悄占了 700 多 MB，顺藤摸下去：ZCode 会在后台把用户的全量代码仓库连同 Git 历史打包上传——其中一个整仓上传包313MB，上传失败还会重试，实测口径是重试了 564 次。

比数字更扎心的是三个细节：上传行为无视客户端的隐私开关、用户无法在客户端取消、数据虽经加密但用户自己无法解包。9 月 18 日，《扒一扒 ZCode 静默上传全量 Git 历史的骚操作》在开发者圈刷屏，V2EX 当天出现《ZCode 上传代码是否早有预谋》的讨论——有人后怕：公司代码要是被传上去，「没准就被毕业了，甚至吃官司」。

一句话：你深夜写的代码，可能正在被静默打包上传，而你毫不知情。

▎二、智谱的三步回应：道歉、开源、交审计

9 月 18 日官方首次回应，9 月 21 日整改落地。动作分三层，一层比一层重：

第一层：认错（9/18）。承认问题出自 ZCode 并致歉，向用户赠送一次周额度重置；承诺相关代码数据不会留存、从未用于模型训练。

第二层：交源码（9/21）。ZCode 正式开源，Apache-2.0 协议，桌面端、Web、终端 Agent 一次性开放；同时清空了相关云存储数据，下线了引发争议的 Repo Wiki 功能。

第三层：交审计。邀请中国信通院、绿盟两家独立机构做安全审计，结果随开源一并公布；MaaS 平台同步上线「数据内容不留存」功能。

（来源：新浪财经、东方财富、安全客、观察者网 9 月 18-21 日报道；开源仓库与活动公告为官方口径。）

▎三、老金判断：诚意是真的，账单也是真的

▎四、对你意味着什么：白嫖窗口和三道防线

① 想白嫖的：夜窗延期了。官方公告确认，夜间畅用活动从 9 月 20 日延期至 10 月 7 日：每晚 23:00 到次日 9:00，付费套餐用户在 ZCode 里用 GLM-5.3-Flash全额免费，在套餐支持的其他 Agent 里额度×2，进时段自动生效，含周末节假日。唯一注意：错峰使用有5 小时/周限额，达到上限要等刷新。

② 三道防线，现在就能上：敏感项目和公司代码，先关掉自动上传类功能再干活；定期检查编程工具的隐私开关与网络请求；重要代码本地留底，别把任何工具当唯一仓库。

③ 选型观该升级了：把「透明度」当选型指标——能不能关、上传了什么、给谁审计过，这三问以后比跑分更重要。

▎五、该泼的冷水