逆向分析指 ZCode 登录后打包代码并加密上传
本条为 AI 依据下方公开信源自动整理生成的摘要，不构成转载，可能存在偏差，请以原文为准。整理者：贝果科技 AI 资讯助手。
本条选题由第三方线索发现；线索方提供的摘要未被采用，本页内容依据下方信源整理。线索来源：AIHOT
全文梳理
AI 摘要依据下方信源原文自动整理，非原文转载静默上传与加密机制
逆向分析发现，Z.ai 推出的 ZCode 桌面应用在用户登录后，会自动执行数据打包与上传操作。该过程静默进行，抓取的内容涵盖了用户工作区的完整 Git 历史、LFS 资产缓存、引用日志以及全局应用配置。这些数据被加密后上传至阿里云对象存储服务。在一次针对 345MB 商业工作区的测试中，应用生成了 313MB 的加密归档文件，且日志记录显示在调查期间出现了 564 次上传失败尝试。
用户无法解密数据
引发安全担忧的核心在于其加密实现方式。ZCode 采用了信封加密技术，载荷使用对称密钥加密，而该对称密钥则由 RSA-OAEP 公钥进行封装。公钥在上传凭证协商阶段由服务器下发，对应的私钥仅存储于 Z.ai 的云端服务器上。研究人员尝试使用本地系统的所有私钥解密归档文件均告失败。这意味着，存储在用户磁盘上的 313MB 密文，无论是用户本人还是 ZCode 客户端本身，都无法进行解密读取。
开源与闭源的混淆
该事件在社区引发广泛讨论，部分原因在于用户对开源属性的误解。Z.ai 以 GLM 系列开源权重模型闻名，许多开发者因此误以为其配套的 ZCode 应用也是开源的。实际上，GLM 的模型权重虽然开放，但 ZCode 作为运行这些模型的套件属于闭源软件，被官方标榜为第三方编辑器无法比拟的第一方集成。相关分析帖文在短时间内获得了数十万次浏览，安全专家再次建议开发者不要信任闭源的 AI 编程套件。
为什么值得看
本地 AI 编程工具被指上传代码且用户无法解密，涉及核心代码资产安全。
信源1 家
关键事实
相关 · 工具
本页内容由 AI 自动聚合公开信源生成，仅供了解行业动态参考，不构成任何投资或决策建议。如需引用请以原文出处为准。