AI Safety Incidents

ZCode דחס 42,411 קבצים לארכיון שרק Zhipu יכלה לפתוח

מחבר

Rowan Sterling

תאריך פרסום

Oct 27, 2026

מודלים אחרונים · 20צפו בכל המודלים →

בנצ'מרקים: Artificial Analysis · מתעדכן יומית

חזרה לכל הפוסטים

ב-18 בספטמבר 2026, מפתח שכותב תחת השם ferstar פרסם ניתוח טכני מעמיק של ZCode, סוכן קידוד AI שולחני שפותח על ידי מפתחת המודלים הסינית Zhipu AI, לאחר שהבחין שתיקייה מוסתרת בספריית הבית שלו גדלה מעבר ל-700 MB. בתוכה הוא מצא ארכיון מוצפן בגודל 313 MB המכיל 42,411 קבצים שנאספו מסביבת עבודה בגודל 345 MB, ש-86.6% ממנה הם היסטוריית Git, שנארז על ידי הלקוח והוכן להעלאה לאחסון האובייקטים של Alibaba Cloud. הארכיון נחתם במפתח שרק השרתים של Zhipu יכלו לפתוח, והלקוח לא הציע שום מתג שיעצור את יצירתו. Zhipu התנצלה באותו ערב. התיעוד המלא, עם דירוג המהימנות וסטטוס הנזק של הארכיון עצמו, נמצא בארכיון Orca AI Incident Archive, שמתעד כל תקרית AI מתועדת מול המקורות המצוטטים שלה.

ZCode הוא סוכן הקידוד השולחני של Zhipu: הוא קורא פרויקט, מריץ פקודות shell וכותב קוד. החברה נסחרת בהונג קונג תחת הסימול 2513.HK וממתגת את הזרוע הבינלאומית שלה כ-Z.ai, השם שמופיע בשרתי ZCode שבדק ferstar. The Paper, כלי החדשות משנגחאי שראיין אותו ואת כמה מפתחים אחרים לאחר מכן, מדווח שהפוסט שלו נשא את הכותרת, בקירוב, "הסרת הלוט מעל ההעלאה השקטה של היסטוריית Git מלאה ב-ZCode", ושהוא התפשט בקבוצות מפתחים סיניות בתוך שעות מפרסומו.

מה היה בתוך התיקייה המוסתרת

המספרים של Ferstar עצמו הם עמוד השדרה של המקרה, והם שוחזרו באופן עקבי על ידי The Next Web, InfoQ והדסק הפיננסי של China National Radio. הארכיון בתיקיית נקודות הביקורת של ZCode שלו היה בגודל 313 MB. קובץ הסטטוס שלצידו תיעד סביבת עבודה של כ-345 MB ו-42,411 קבצים. ספריית .git היוותה 86.6% מנפח הנתונים: 196.1 MB של מטמון אחסון קבצים גדולים של Git, 102.2 MB של אובייקטי Git הנושאים את היסטוריית הקומיטים המלאה, ופרוסה דקה של reflog. קוד המקור והתיעוד בפועל הסתכמו בכ-13.4%.

HTML card kicked 'ZCode · the archive ferstar found', titled '313 MB, 42,411 files, 86.6% of it Git' and subtitled 'One developer's checkpoints directory in ~/.zcode, from a workspace of about 345 MB, as recorded in his own status log.' A horizontal stacked bar splits the payload: Git large-file-storage cache at 196.1 MB or 56.8 percent; Git objects carrying the full commit history at 102.2 MB or 29.6 percent; source code and documentation at 46.2 MB or 13.4 percent; and a reflog and metadata slice at 0.2 percent. Four tiles sit below the bar: 345 MB, workspace packaged into the snapshot; 42,411, files inside the 313 MB encrypted archive; 564, failed upload attempts logged against it; and 538 to 15 KB, files in the one snapshot the server accepted, after compression. A footer reads 'Figures published by ferstar on 18 September 2026 and repeated by The Next Web, InfoQ and China National Radio. The 313 MB archive never left the machine. Card rendered by OrcaRouter.'

ההבחנה חשובה משום שהיסטוריית Git היא המקום שבו נוטה לשרוד חומר שהוסר מהעץ הנוכחי. התיאור ב-The Paper מבהיר זאת ישירות: ארכיון מסוג זה יכול לשאת את היסטוריית העריכות של פרויקט מהקומיט הראשון שלו, תוכן שנמחק, טיוטות שלא נכללו בקומיט וקבצי תצורה ישנים יותר, כולל פרטי גישה שהוסרו מהקוד לפני זמן רב אך נותרו בקומיטים מוקדמים יותר ובמטמון הקבצים הגדולים.

הארכיון של Ferstar בגודל 313 MB מעולם לא עזב את המחשב שלו. יומן הסטטוס שלו הראה 564 ניסיונות העלאה כושלים, והוא נתקע במצב ממתין, מעל מגבלת הגודל. כדי לבדוק אם הצינור עבד בכלל, הוא ניסה מאגר ציבורי קטן של 538 קבצים; תמונת המצב הזו נדחסה והוצפנה לכ-15 KB והתקבלה על ידי השרת. ההעברה הזו היא זו שברשומה אושרה כהושלמה מקצה לקצה, והיא מה שהופך את הממצא מתרגיל של קריאת קוד לדליפת מידע עם קצה מקבל מוכח.

הלכידה לא הייתה קשורה לשום פעולה שמשתמש היה מזהה כ"העלאת המאגר שלי". לפי השחזור של ferstar, טריגר אחד הופעל לפני כל פרומפט שנשלח למודל, ואחר רץ כמשימת עדכון של Repo Wiki. מחיקת הארכיון הממתין לא עצרה זאת: פוסט בקהילת המפתחים של Tencent Cloud מתעד שהחבילה נבנתה מחדש בתוך 30 דקות ומונה הכשלים עלה מ-564 ל-565. העצירה האמינה היחידה שהמחבר מצא הייתה הפיכת ספריית ה-checkpoint לבלתי ניתנת לכתיבה, כך שהלכידה נכשלה בכתיבה לדיסק, במחיר אובדן ה-rollback של ה-checkpoint וממשק ציר הזמן.

מפתח שרק הספק יכול היה להשתמש בו

ההצפנה הייתה הצפנת מעטפה קלאסית, וזה החלק שהמשתמשים לא יכלו לעקוף. השחזור של InfoQ, המבוסס על ההנדסה ההפוכה של ferstar, מתאר כיצד הלקוח שולף מזהה snapshot, מפתח ציבורי RSA ופרטי גישה להעלאה ל-Alibaba Cloud OSS מ-zcode.z.ai, אורז ומצפין את סביבת העבודה באופן מקומי, ולאחר מכן שולח את הטקסט המוצפן ישירות ל-OSS. התוכן הוצפן באמצעות AES-256-CTR; המפתח הסימטרי נעטף באמצעות RSA-OAEP-SHA256 תחת המפתח הציבורי של השרת, שהחצי הפרטי שלו נשאר בענן של Zhipu.

ניתוב התעבורה משמעותי לא פחות מהקריפטוגרפיה. מכיוון שהלקוח העלה ישירות ל-Alibaba Cloud ולא דרך שרתי האפליקציה של Zhipu עצמה, התעבורה לא עברה דרך שירות של Zhipu שיכול היה לתעד או לסנן אותה, כך שאף שירות של Zhipu לא עמד בנתיב כדי לתעד או לסנן את מה שיצא. ומכיוון שהמפתח הפרטי מעולם לא היה במכשיר, ferstar לא יכול היה לפתוח את הארכיון שלו: The Next Web מדווח שהוא ניסה כל מפתח פרטי במחשב שלו ונכשל. בפוסט שלו תיאר את ההסדר כמפתח שרק השרת יכול להשתמש בו, ושאין לו אלא מטרה אחת.

שתי הגדרות בלקוח נראו כאילו היו אמורות לעצור את זה, ואף אחת מהן לא עשתה זאת. המתג "optimise experience" שלט בשאלה האם ניתן להשתמש בנתונים לאימון מודלים; המתג "repository snapshot indexing" שלט בשאלה האם השרת בנה אינדקס על גבי תמונות מצב שכבר הגיעו. שניהם פועלים במורד הזרם מהלכידה. Ferstar גילה שהלכידה פועלת ללא תנאי, ו-The Next Web מדווח שקריאתו את מדיניות הפרטיות העלתה שהיא תיארה איסוף של טקסט שיחות וקבצים אך לא אמרה דבר על תמונות מצב אוטומטיות של סביבת העבודה הנושאות היסטוריית Git מלאה.

ההסבר ש-Zhipu נתן, וארבעת הימים שאחריו

Zhipu הגיבה באותו יום, דרך קבוצת המשתמשים הרשמית של ZCode ולא באמצעות הודעה לעיתונות. כפי שדווח ב-Global Times ופורסם מחדש ב-Security Inside, החברה ייחסה את ההתנהגות לתכונה שנקראת codebase indexing, אשר תומכת באינדוקס מקומי, שחזור נקודות ביקורת של סשן, החזרת גרסאות ויצירת Repo Wiki, ואמרה ששלב ה-Repo Wiki הוא זה שהפעיל העלאות מאגרים לענן. התכונה הייתה פעילה כברירת מחדל מאז ההשקה. Zhipu אמרה שהנתונים שהועלו שימשו רק ליצירת עמוד ה-Repo Wiki ונמחקו מיד לאחר מכן, שלא נשמרו ולא שימשו לאימון, והתנצלה בפני משתמשים שנפגעו. היא הבטיחה להפוך את בסיס הקוד של ZCode לקוד פתוח, להזמין ביקורת של צד שלישי ולפרסם את התוצאות, והציעה לכל משתמש ZCode איפוס מכסה שבועי נוסף אחד כפיצוי.

התיקון הגיע למחרת. The Paper מדווח ש-ZCode 3.14.0 שוחרר ב-19 בספטמבר עם רשומת שינויים בנוסח "תיקון בעיית ההעלאה החריגה של ויקי המאגר", ושאישר ferstar באותו יום ששרשרת ההעלאה ונקודת הקצה שלה נעלמו. ב-20 בספטמבר הכריזה פלטפורמת MaaS של Zhipu על אפשרות אפס שימור עתידית, שבמסגרתה קלטים ופלטים לא יאוחסנו באופן סטטי; The Paper מציין שהיא פועלת בהצטרפות לפי בקשה, שאינה כוללת את Batch API ואת File API, ושהיא עדיין מתירה שימור של 30 ימים או יותר כאשר החוק או חקירת שימוש לרעה מחייבים זאת. ב-21 בספטמבר קוד המקור של הלקוח פורסם ב-GitHub תחת רישיון Apache 2.0, כשהוא מכסה את אפליקציית שולחן העבודה, לקוח האינטרנט, הבקאנד, ה-CLI של הסוכן וסביבת הריצה של הסוכן.

הוזמנו שתי ביקורות ומסקנותיהן פורסמו כסיכומים. {{1}}האקדמיה הסינית לטכנולוגיות מידע ותקשורת{{/1}} מצאה את {{2}}דלי ה-OSS של Alibaba Cloud בשם zcode-prod{{/2}} במצב שאותו Zhipu מכנה מצב אפס נתונים. חברת האבטחה NSFOCUS דיווחה שכל אובייקט נתונים והדלי עצמו נמחקו, וכי לא נמצא נתיב שנותר ב-ZCode 3.14.0 שיכול להפעיל תמונת מצב של מאגר מקומי או לשלוח קבצים החוצה. דוח ההערכה המלא טרם הופיע, ו-The Next Web מדווח ש-Zhipu לא מסרה תאריך לכך.

הלקוח שטען ליותר, ואז חזר בו

הטענה הרצינית ביותר בדבר נזק ממשי לא הגיעה מ-ferstar. ב-19 בספטמבר, לפי China National Radio, שלחה Taiyuan Chengming Technology ל-Zhipu מכתב משפטי שמספרו Chengming [2026] Legal Letter No. 1, וששוחזר בפירוט בידי ChainCatcher. החברה מסרה כי שישה מסביבות העבודה לקידוד שלה הועלו ללא הסכמה — 34,500 קבצים וכ-425 MB בטקסט גלוי — ופירטה קוד מקור מלא, ארכיטקטורת מערכת, היסטוריית גרסאות, סיסמאות מסדי נתונים, אישורי ענן ומידע אישי של עובדים. לדבריה, סביבת עבודה שביעית ובה 1,947 קבצים וכ-144 MB נארזה והוצפנה, אך 32 ניסיונות העלאה חוזרים נכשלו. היא גם ציינה שהלקוח שלה עודכן לגרסה 3.12.3 ב-16 בספטמבר, ובכל זאת זוהו העלאות בשעה 00:28 ב-18 בספטמבר, בבוקר שבו Zhipu התנצלה.

המכתב הציג שאלה שהביקורות אינן משיבות עליה: האם הנתונים יצאו מהמדינה. צ'נגמינג אמר כי בקשות הרשת של ZCode כוונו לגורם בסינגפור, בעוד שהסכם השירות שלה נחתם עם Beijing Zhipu Huazhang, וביקש מ-Zhipu לזהות איזה צד אחראי והאם התרחשה העברה או אחסון מחוץ ליבשת סין. המכתב מנה שתים עשרה דרישות, ובהן מחיקת כל הנתונים שהועלו ונגזרותיהם, מטמונים וגיבויים, עם אישור בכתב; הסבר לאן הנתונים הלכו והאם שותפו עם צדדים שלישיים או שימשו לאימון; תיאור אופן החזקת המפתח הפרטי והפקת יומני גישה; הגדרת ההיקף המדויק של הטענה ש"הושמדו"; והתחייבות בכתב שלעולם לא יועלו שוב. המכתב נתן ל-Zhipu עד 10 באוקטובר להשיב בכתב ושמר את הזכות לתבוע פיצויים ולהתלונן לרשויות הרגולציה. Caixin Global מדווח כי Zhipu כינתה את ההאשמות כלא נכונות.

יומיים לאחר מכן, צ'נגמינג חזר בו מהן. הדסק הפיננסי של רדיו הלאומי של סין מדווח שב-21 בספטמבר פרסמה החברה הודעת חזרה בה, ובה נאמר כי הצהרותיה הקודמות נשענו על ראיות שגויות, תיאור לא מדויק וניסוח מוגזם, כי הן פגעו במוניטין של Zhipu, וכי היא תפסיק לדבר עם התקשורת. על פי The Next Web, גם רויטרס דיווחה על החזרה בה. רשומת הארכיון לאירוע זה מתוארכת ל-18 בספטמבר, יום הגילוי; המכתב, מועד ה-10 באוקטובר שנקבע בו והחזרה בה — כולם באו לאחר תאריך זה. על פי הרשומה הציבורית נכון לסוף אוקטובר, אף חברה בשם מזוהה אינה עומדת מאחורי טענה שסודותיה נחשפו.

גרסת קוד פתוח שההיסטוריה שלה נמחקה

הפיכת הלקוח לקוד פתוח הייתה הפתרון שהזיפו נשענה עליו ביותר, והיא הגיעה עם חור. The Paper מדווח כי המאגר שפורסם מכיל שני קומיטים: קומיט ראשוני ריק וקומיט יחיד שמוסיף כ-6,973 קבצים ו-1.03 מיליון שורות, כשבקשות משיכה נעולות ונושאים סגורים. איך שנראה צינור ההעלאה כששוחרר, ובאילו מהדורות הוא נכלל, לא נמצא בהיסטוריה שאפשר לקרוא כיום.

התגובה הנוספת של Ferstar מבהירה את המגבלה במפורש. הוא אישר שצינור ההעלאה כבר לא היה קיים, ושמנגנון נקודת הביקורת שנותר מבצע פעולות Git מקומיות בלבד, ואז הצביע על מה שבדיקת ה-bucket יכלה ולא יכלה להראות: פינוי ומחיקה של ה-bucket הם פעולת עצירת הנזק הנכונה, אך בדיקה של צד שלישי שבוצעה לאחר 20 בספטמבר יכולה לקבוע רק שה-bucket היה ריק באותה נקודה. היא אינה יכולה לשחזר מה עבר דרכו לפני 18 בספטמבר, אם משהו פוענח, הועתק או גובה, או כמה זמן צינור ההעלאה פעל. טענת מחיקה עדיין נשענת במידה רבה על דבריו של הגורם שמחק.

הניתוח של InfoQ מפרט את השאלות שנותרו פתוחות באותם מונחים: כמה תמונות מצב של מאגרים הועלו בהצלחה ועל ידי כמה משתמשים, כמה זמן נשמרו האובייקטים, אילו מערכות בצד השרת או אנשי צוות יכלו לפענח אותם, האם קיים יומן גישה מלא, והאם המחיקה כללה גיבויים ועותקים אחרים. הוא גם מציין מה ZCode עדיין מהווה לאחר התיקון. ה-NOTICE של הפרויקט עצמו מזהיר שסביבת ההרצה המשותפת של הסוכן אינה מספקת כברירת מחדל ארגז חול ברמת מערכת ההפעלה, ושהלקוח משמר ממשקי shell, מסוף, Git, MCP, תוספים ודפדפן מוטמע שיכולים לקרוא קבצים, להפעיל תהליכים ולהגיע לרשת במסגרת הרשאות החשבון של המשתמש.

מה שמבוסס, ומה שאף מקור אינו עונה עליו

HTML card kicked 'ZCode · what the sources support', titled 'Established, withdrawn, and unknown' and subtitled 'The archive grades this record A on documentation. The documentation is strongest on mechanism, weakest on scale.' Three columns. Column one, 'Established', sub-headed 'Agreed by the finder and the vendor': whole workspaces including full Git history were packaged and encrypted by the client; snapshots went to an Alibaba Cloud OSS bucket Zhipu controlled, not through its application servers; the feature that drove it was on by default with no user switch that stopped capture; the key was wrapped to a server-held private key, so users could not open their own archives; the server accepted at least one snapshot, a 538-file public repository of about 15 KB; Zhipu apologised on 18 September and v3.14.0 on 19 September removed Repo Wiki and the upload path, confirmed by ferstar and NSFOCUS. Column two, 'Alleged, then withdrawn', sub-headed 'Taiyuan Chengming Technology, 19 to 21 September': it said six workspaces went up without consent, 34,500 files and about 425 MB; it listed source code, database passwords, cloud credentials and employee personal data; it asked whether data left mainland China, since requests went to a Singapore entity; it demanded written answers by 10 October and reserved the right to sue; it withdrew on 21 September, citing erroneous evidence and overstated wording; and no named company now stands behind a claim that its secrets were exposed. Column three, 'No source states', sub-headed 'Absent from every document reviewed': how many users or workspaces were captured; how long the pipeline ran before 18 September; whether any uploaded object was decrypted, copied or backed up; whether data crossed a border or where it is now; whether it was used for training, for which only Zhipu's assurance exists; and whether the full third-party assessment report will be published. A footer reads 'As reported through 27 October 2026 by ferstar, The Paper, Global Times, Caixin Global, China National Radio, The Next Web and InfoQ. Card rendered by OrcaRouter.'

אין מחלוקת על המנגנון. ההצהרות של Zhipu עצמה מודות כי נתוני מאגר הועלו, כי התכונה הייתה פעילה כברירת מחדל, וכי הנתונים הגיעו לדלי ענן שבשליטת החברה. המדידות של Ferstar, התנצלות הספק, שתי ביקורות שהוזמנו והשחרור כקוד פתוח — כולם מתארים את אותה שרשרת. דבר בתיעוד אינו חולק על כך שסביבות עבודה עזבו מכונות ללא אפשרות ביטול מעשית. הנזק שנרשם בתיעוד הוא ממשי ולא היפותטי: ההעברות התרחשו, והאנשים שהקוד שלהם היה בתוכן לא היו יכולים למנוע אותן, וגם לא לבדוק אותן.

מה שנתון במחלוקת, או פשוט אינו ידוע, הוא ההיקף וההשלכות. אף מקור אינו מציין כמה משתמשים הפעילו את ברירות המחדל המושפעות, כמה זמן פעל הצינור לפני 18 בספטמבר, או האם אובייקט שהועלה אי פעם פוענח. ההבטחה של Zhipu שהנתונים נמחקו לאחר יצירת הוויקי ומעולם לא שימשו לאימון היא הצהרה של החברה עצמה; ממצאי CAICT ו-NSFOCUS מתארים את מצב ה-bucket לאחר התיקון, לא את מה שעבר דרכו. הארכיון מדרג את הרשומה ב-A על תיעוד, והתיעוד חזק במנגנון ודל בהיקף.

מה השתנה, ומה לא

העלות המסחרית הייתה מיידית. {{1}}China National Radio מדווחת{{/1}} כי מניותיה של Zhipu הנסחרות בהונג קונג ירדו ב-1.79% ב-21 בספטמבר, ב-6.55% ב-22 בספטמבר וב-12.4% ב-23 בספטמבר, ירידה מצטברת של יותר מ-16% לאורך שלושה ימי מסחר, וכי Zhipu לא התייחסה לשאלה כמה משתמשים נפגעו או האם נתונים היסטוריים פוענחו או גובו.

מה שמשתמש ZCode קיבל בפועל בארבעת הימים שלאחר הגילוי:

• 18 בספטמבר: התנצלות פומבית שבה צוין אינדוקס מאגר הקוד כגורם, הבטחה לפרסם את קוד הלקוח בקוד פתוח ולהזמין בדיקה חיצונית, ותוספת של איפוס מכסה שבועי אחד נוסף לכל משתמש.

• 19 בספטמבר: ZCode 3.14.0, כאשר Repo Wiki הוסר ונתיב יצירת תמונות המצב המקומיות וההעלאה נקטע. Ferstar אישר למחרת ששרשרת ההעלאה נעלמה.

• 20 בספטמבר: אפשרות שהוכרזה של אפס שימור עבור פלטפורמת ה-MaaS של Zhipu, בהצטרפות מרצון, למעט Batch API ו-File API, ועדיין כפופה לשימור משפטי של 30 יום או יותר.

• 21 בספטמבר: ZCode פורסם תחת Apache 2.0 ללא היסטוריית הקומיטים שקדמה לאירוע; סיכומי CAICT ו-NSFOCUS דיווחו כי דלי האחסון ריק ונתיב היציאה נעדר.

שום דבר מזה אינו חל בדיעבד. השאלות הספציפיות שהעלה צ'נגמינג — לאן הגיעו הנתונים, מי יכול היה לפענח אותם, האם הם יצאו מהמדינה, ומה כיסה המונח "הושמדו" — הועלו בכתב עם מועד אחרון של 10 באוקטובר, ואז בוטלו יחד עם החברה שביקשה אותן. זיפו הבטיחה דוח הערכה מלא של צד שלישי ללא תאריך. עד שיופיע כזה, התיאור הציבורי היחיד של מה שעשתה הצנרת עם הנתונים שקיבלה הוא התיאור של החברה שבנתה אותה, והממצא היחיד שניתן למדוד באופן עצמאי הוא קובץ בגודל 313 MB שנכשל 564 פעמים לצאת מהמחשב הנייד של מפתח אחד.

ZCode דחס 42,411 קבצים לארכיון שרק Zhipu יכלה לפתוח

מה היה בתוך התיקייה המוסתרת

מפתח שרק הספק יכול היה להשתמש בו

ההסבר ש-Zhipu נתן, וארבעת הימים שאחריו

הלקוח שטען ליותר, ואז חזר בו

גרסת קוד פתוח שההיסטוריה שלה נמחקה

מה שמבוסס, ומה שאף מקור אינו עונה עליו

מה השתנה, ומה לא

מוצר

משאבים

לספקים

הצטרפו לקהילה שלנו

מהבלוג

ספקי מודלים