Z.ai xin lỗi vì ZCode tự động tải mã nguồn lên đám mây
"Z.ai apologized after its ZCode code-generation product was found uploading entire user workspaces, including project histories, to Alibaba Cloud without a user-controlled way to disable the behavior or delete the uploaded data. The company said the issue was tied to its Repository Index/Repo Wiki functionality, removed the feature, deleted previously uploaded data, and open sourced ZCode after external security reviews; no CVE was mentioned."
Rủi ro chính là rò rỉ mã nguồn và lịch sử dự án qua cơ chế tải lên mặc định; sự cố cũng cho thấy thiếu minh bạch về xử lý dữ liệu và khó kiểm soát/xóa dữ liệu đã gửi.
Có thể ảnh hưởng đến bảo mật sở hữu trí tuệ, niềm tin của khách hàng và yêu cầu đánh giá lại công cụ AI trong quy trình phát triển; doanh nghiệp có thể cần tạm dừng hoặc giới hạn triển khai ZCode.
Z.ai đã thừa nhận và xin lỗi sau khi công cụ tạo mã ZCode bị phát hiện tải toàn bộ workspace của người dùng, gồm cả lịch sử dự án, lên Alibaba Cloud mà không có cơ chế do người dùng kiểm soát để tắt hoặc xóa dữ liệu đã gửi đi. Theo mô tả từ nhà nghiên cứu, hành vi này liên quan đến tính năng Repository Index và Repo Wiki, trong đó dữ liệu được git-encrypt rồi chuyển lên máy chủ do Z.ai quản lý khóa giải mã.
Công ty cho biết dữ liệu đã tải lên không được dùng để huấn luyện mô hình, đã xóa dữ liệu trước đó, và đã loại bỏ Repo Wiki khỏi sản phẩm. Z.ai cũng nói đã mời CAICT và NSFOCUS đánh giá sau khi thay đổi, đồng thời mở mã nguồn ZCode trên GitHub để cộng đồng kiểm tra thêm. Tuy nhiên, nhà nghiên cứu ban đầu cho rằng việc xóa cả commit history và mã nguồn dùng trước bản vá có thể làm giảm khả năng truy vết.
Với các đội kỹ thuật, sự việc này cho thấy cần rà soát chính sách dữ liệu, kiểm tra quyền kiểm soát của người dùng, và đánh giá kỹ các công cụ AI có khả năng đồng bộ mã nguồn hoặc workspace lên hạ tầng bên thứ ba.