智谱旗下AI编程客户端ZCode因被开发者质疑未经明示上传用户工作区代码至阿里云OSS，于9月21日正式公开致歉并宣布开源。智谱邀请中国信息通信研究院与绿盟科技完成安全审计，确认zcode-prod存储桶已删除、状态为“云端零数据”。据智谱承诺，相关代码数据无留存、从未用于模型训练，客户端v3.14.0已完成整改并移除Repo Wiki功能。事件发酵期间，已有企业用户发函提出12项追问，港股股价一度跌超4%。
从“代码索引”到公开道歉：一场信任危机如何发酵
这场风波的起因并不复杂。开发者通过逆向分析发现，ZCode在用户登录状态下会打包本地工作区——包括源码、Git历史、配置文件——加密上传至阿里云OSS。更令人不安的是，相关功能在上线初期为默认开启状态。这意味着用户可能从未主动授权，代码便已在后台悄悄“离家出走”。
9月18日，ZCode官方首次在用户群中致歉，解释问题源于默认开启的“代码库索引/Repo Wiki”功能，并承诺开源、第三方审查以及为全体用户补偿一次周额度重置。然而道歉并未立刻平息质疑。9月19日，太原承明科技正式发函，提出12项追问，涵盖数据范围、销毁证明、是否跨境传输等关键问题，并称在9月18日致歉当晨仍检测到上传行为，同时保留诉讼权利。
开源与审计：智谱的整改“组合拳”
9月21日，智谱对外发布正式整改说明。最核心的举措是将ZCode代码在GitHub（github.com/zai-org/ZCode）上开源，源代码向公众开放，供外界审查。同时邀请中国信息通信研究院和绿盟科技两家机构独立开展安全审计。
中国信息通信研究院的技术评测确认，zcode-prod阿里云OSS存储桶状态为“云端零数据”。绿盟科技审查后确认，桶内全部数据对象及存储桶本身已删除，且未发现可触发快照或文件外发的功能路径。客户端v3.14.0已完成安全整改，移除了Repo Wiki功能，并切断了本地仓库快照的生成与上传链路。
值得注意的是，关于“阿里云OSS已清空”这一结论，目前主要基于智谱单方披露的第三方审计结果。涉事时长、受影响仓库范围、历史备份是否彻底清空等细节尚未完全公开——可以推断，倘若第三方后续复核数据出现出入，事件的信任修复将面临新的考验。
“无留存”承诺之外：后续动作与市场反应
除了开源与审计，智谱还在产品层面作出调整。9月20日，智谱MaaS平台宣布将上线“数据内容不留存”功能（BatchAPI/FileAPI及法定留存场景除外）。智谱同时表示，将建立常态化安全漏洞机制，按严重程度奖励报告者。
一个无法回避的事实是，“代码数据无留存、从未用于模型训练”目前仍是智谱的单方声明，尚待独立验证。在信任重建的语境下，企业主动披露只是第一步，如何让外部监督真正嵌入产品研发流程，或许是更关键的第二幕。
市场方面的反应已经出现。受事件影响，智谱港股股价一度跌超4%。从行业角度看，开发者社区对CLI工具数据流向的警觉度正在显著提升，工具是否默认上传、上传了什么、留存多久，正成为技术选型中被前置考量的因素。
回到ZCode事件本身：一次“默认开启”的仓库索引功能，因为信息不透明，演变成一场关于代码所有权的信任危机。从致歉、开源到邀请信通院与绿盟科技进场审计，智谱给出了国内AI编程工具领域迄今较为完整的危机应对样本。但正如承明科技持续追问所揭示的——声明之后，可验证的证据链，才是回应的终点。
参考资料
- 智谱完成ZCode开源并整改，承诺相关代码数据未用于模型训练 - 第一财经
- 智谱，致歉_新浪财经_新浪网 - 新浪财经
- 突发!智谱:开源 ZCode_新浪财经_新浪网 - 新浪财经
- 被质疑“偷传代码”后，智谱ZCode官宣开源:0数据留存_凤凰网 - 凤凰网科技
- 被质疑“偷传代码”后智谱ZCode官宣开源_凤凰网 - 凤凰网科技
- 被质疑“偷传代码”后智谱 ZCode 官宣开源:已完成整改并向所有用户道歉_新浪科技_新浪网 - 新浪财经
- ZCode完成安全整改 智谱承诺相关代码数据没有用于模型训练 _ 东方财富网 - 东方财富网
- 智谱ZCode陷代码上传争议_腾讯新闻 - 腾讯网
- 独家|AI学会偷代码?智谱回应数据隐私争议_新浪财经_新浪网 - 新浪财经
- ZCode:已开源，代码交给社区监督并开展安全审计|OSS|快照|中国信息通信研究院|整改|数据_新浪新闻 - 新浪看点
- 被指偷传代码企业发函追责，智谱:ZCode将开源并接受第三方审计|界面新闻 · 科技 - 界面新闻
- 智谱ZCode官宣开源:泄露代码无留存，未用于模型训练 - 电脑之家PChome.net
- 新黄河的微博 - 微博
本文基于公开信息分析整理，仅供参考。更多AI工具动态与行业解读，请持续关注本站更新。
滇公网安备 53252802528133号