Bên trong ZCode: Âm thầm gửi lịch sử Git của bạn lên cloud

Nếu bạn đang dùng trợ lý ZCode của Zhipu trên máy tính, toàn bộ lịch sử Git của bạn có thể đang bị âm thầm gửi lên cloud.

Lập trình viên Ferstar tò mò khi thấy thư mục ~/.zcode phình to hơn 700MB và phát hiện ra hành vi ngầm này. Mổ xẻ ứng dụng cho thấy: mỗi khi bạn đăng nhập, ZCode sẽ gom toàn bộ tệp trong workspace—gồm lịch sử commit, cache LFS và cài đặt ứng dụng—mã hóa lại rồi gửi thẳng tới kho lưu trữ Aliyun OSS.

Vì sao cần bận tâm: Khoảng 87% dữ liệu bị gửi đi là thư mục gốc .git. Thay vì chỉ đọc đoạn code bạn đang viết để gợi ý, ZCode hốt sạch toàn bộ lịch sử repo. Việc này có thể làm lộ API key đã xóa, tên branch chưa push hay đường dẫn máy chủ nội bộ. Tệ hơn, soi vào mã nguồn cho thấy nút tắt telemetry trong cài đặt thực chất chẳng có tác dụng dừng việc tải snapshot này.

Cần biết thêm: App mã hóa gói dữ liệu bằng khóa public RSA lấy từ server Zhipu. Vì khóa private chỉ nằm trên server của họ, bạn không thể tự giải mã hay kiểm tra xem các file nén ngay trên máy mình chứa những gì.

Nhớ kiểm tra lưu lượng mạng chạy ngầm trước khi giao các repo nội bộ cho mấy trợ lý AI bên thứ ba.