ZCode 将 42,411 个文件打包成了一个只有智谱才能打开的归档文件

2026年9月18日，一位以ferstar为笔名的开发者发布了对ZCode的拆解分析，这款桌面 AI 编程智能体由中国模型开发商Zhipu AI打造。此前他注意到，自己主目录中的一个隐藏文件夹已增长到超过 700 MB。他在其中发现了一个 313 MB 的加密归档，里面包含从 345 MB 工作区中提取的 42,411 个文件，其中 86.6% 是 Git 历史记录；该归档由客户端打包，并暂存以待上传至阿里云对象存储。归档用只有 Zhipu 服务器才能解封的密钥密封，而客户端没有提供任何阻止其被构建的开关。Zhipu 当晚致歉。完整记录连同该归档自身的置信等级与危害状态，都收录在Orca AI Incident Archive中，该档案库会依据所引用的来源记录每一起有据可查的 AI 事件。

ZCode 是智谱推出的桌面编程智能体：它能读取项目、运行 shell 命令并编写代码。该公司在香港以股票代码 2513.HK 上市，并将其国际业务品牌命名为 Z.ai——这个名字出现在 ferstar 检查过的 ZCode 服务器上。随后采访了他和其他几位开发者的上海新闻媒体《澎湃新闻》报道称，他的帖子标题大致为《揭开 ZCode 静默上传完整 Git 历史记录的帷幕》，且文章发布后数小时内就在中国开发者群组中传播开来。

隐藏文件夹里有什么

Ferstar 自己给出的数字是这起案件的主干，并已被 The Next Web、InfoQ 和中央人民广播电台财经部门一致复现。他的 ZCode checkpoints 目录中的归档为 313 MB。旁边的状态文件记录的工作区约为 345 MB、42,411 个文件。.git 目录占载荷的 86.6%：196.1 MB 的 Git 大文件存储缓存、102.2 MB 承载完整提交历史的 Git 对象，以及一小部分 reflog。实际源代码和文档约占 13.4%。

这一区别很重要，因为从当前树中移除的材料往往会留存于 Git 历史中。The Paper 的报道直接指出了这一点：这类归档可以包含项目自首次提交以来的编辑历史、已删除的内容、未提交的草稿和更早的配置文件，包括很久以前就从代码中剥离、但仍留在早期提交和大文件缓存中的凭据。

Ferstar 自己的 313 MB 归档文件从未离开过他的机器。其状态日志显示有 564 次上传失败尝试，并且它一直停滞在待处理状态，超出了大小限制。为了测试这条管道到底能否工作，他尝试了一个包含 538 个文件的小型公共仓库；该快照经压缩和加密后约为 15 KB，并被服务器接受。这次传输正是记录中确认已端到端完成的那一次，也正是它使这一发现从单纯的代码审阅练习，转变为一次具有可证实接收端的窃取行为。

捕获并未与任何用户会认为是“上传我的仓库”的操作绑定。根据 ferstar 的还原，一个触发器会在每次向模型提交提示词之前触发，另一个则作为 Repo Wiki 更新任务运行。删除待处理的归档并没有阻止它：腾讯云开发者社区的一篇文章记录称，该包在 30 分钟内被重新构建，失败计数器从 564 增加到 565。该作者找到的唯一可靠停止方法是让检查点目录不可写，使捕获在磁盘写入时失败，代价是失去检查点回滚和时间线界面。

只有供应商才能使用的密钥

这种加密是教科书式的信封加密，而这也正是用户无法绕过的一环。InfoQ 基于 ferstar 的逆向工程所做的还原显示：客户端从 zcode.z.ai 获取快照 ID、RSA 公钥和阿里云 OSS 上传凭证，在本地对工作区进行打包和加密，随后将密文直接发送至 OSS。内容采用 AES-256-CTR 加密；对称密钥则以服务器的公钥通过 RSA-OAEP-SHA256 进行封装，而该公钥对应的私钥始终保存在智谱的云端。

路由与密码学同样重要。因为客户端直接上传到 Alibaba Cloud，而不是经由 Zhipu 自己的应用服务器，所以流量没有经过任何能够记录或过滤它的 Zhipu 服务；因此，路径上没有任何 Zhipu 服务来记录或过滤离开的数据。而且由于私钥从未存在于设备上，ferstar 无法打开自己的存档：The Next Web 报道称，他试遍了机器上的每一个私钥，但都失败了。他在帖子中把这种安排描述为一把只有服务器才能使用的密钥，而它只有一个用途。

客户端里的两项设置看起来本应阻止这种情况，但两者都没有做到。“优化体验”开关决定数据是否可用于模型训练；“仓库快照索引”开关决定服务器是否对已经到达的快照建立索引。两者都在捕获的下游起作用。Ferstar 发现捕获在无条件运行，而据 The Next Web 报道，他阅读隐私政策后发现，其中描述了收集对话文本和文件，却只字未提会携带完整 Git 历史的自动工作区快照。

智谱给出的解释，以及之后的四天

智谱当天便作出回应，但并非通过新闻稿，而是通过 ZCode 官方用户群。据 Global Times 报道、Security Inside 转载，该公司将这一行为归因于一项名为代码库索引的功能。该功能支持本地索引、会话检查点恢复、版本回滚和 Repo Wiki 生成，并表示正是 Repo Wiki 这一步触发了仓库上传至云端。该功能自上线以来一直默认开启。智谱称，上传的数据仅用于生成 Repo Wiki 页面，随后立即销毁，未被存储，也未用于训练，并向受影响用户致歉。公司承诺将开源 ZCode 代码库，邀请第三方审查并公布结果，同时为每位 ZCode 用户额外提供一次每周配额重置作为补偿。

修复于次日到来。The Paper 报道称，ZCode 3.14.0 于 9 月 19 日发布，更新日志中写道“修复仓库 wiki 的上传异常问题”，并且 ferstar 当天确认上传链路及其端点已不存在。9 月 20 日，智谱的 MaaS 平台宣布即将推出零留存选项，在该选项下输入和输出不会被静态存储；The Paper 指出，该选项需按应用主动申请开通，不包括 Batch API 和 File API，并且在法律或滥用调查需要时仍允许保留 30 天或更长时间。9 月 21 日，客户端源代码以 Apache 2.0 许可证在 GitHub 上公开，涵盖桌面应用、Web 客户端、后端、agent CLI 和 agent runtime。

已委托开展两项审计，其结论以摘要形式公布。中国信息通信研究院发现，zcode-prod 阿里云 OSS 存储桶处于智谱所称的零数据状态。安全公司 NSFOCUS 报告称，所有数据对象以及该存储桶本身均已被删除，并且在 ZCode 3.14.0 中未发现任何仍可触发本地仓库快照或将文件外发的路径。完整评估报告尚未公布，The Next Web 报道称智谱未给出其发布时间。

那位声称有更多情况、随后又撤回的客户

关于实际损失最严重的指控并非来自ferstar。9月19日，据中国之声报道，太原诚明科技向智谱发送了一封编号为诚明〔2026〕法函第1号的律师函，ChainCatcher对此进行了详细转载。该公司称，其六个编程工作区在未经同意的情况下被上传——共34,500个文件、约425 MB明文——并列出完整源代码、系统架构、版本历史、数据库密码、云凭证及员工个人信息。该公司称，第七个工作区的1,947个文件、约144 MB已打包并加密，但32次上传重试均失败。它还指出，其客户已于9月16日更新至3.12.3版本，但9月18日00:28仍检测到上传，而当天上午智谱才道歉。

这封信提出了审计未能回答的问题：数据是否出境。Chengming 表示，ZCode 的网络请求指向一家新加坡实体，而其服务协议是与 Beijing Zhipu Huazhang 签署的；信中要求 Zhipu 说明哪一方应负责，以及是否曾在中国大陆境外发生任何传输或存储。信中列出了十二项要求，包括删除所有已上传数据及其衍生数据、缓存和备份并提供书面证明，说明数据去向以及是否与第三方共享或用于训练，说明私钥如何保管并提供访问日志，界定“已销毁”声明的确切范围，并书面承诺永不再上传。信中还要求 Zhipu 在 10 月 10 日前作出书面答复，并保留索赔和向监管机构投诉的权利。Caixin Global 报道称，Zhipu 称这些指控不属实。

两天后，承明撤回了这些说法。中央人民广播电台财经部报道称，9月21日该公司发布撤回声明，称其早先的陈述基于错误证据、不准确的描述和夸大的措辞，这些说法损害了智谱的声誉，并且公司将停止对媒体发声。据 The Next Web 报道，路透社也报道了此次撤回。该事件的存档条目日期为9月18日，即发现当天；那封信、信中10月10日的截止期限以及撤回声明均在该日期之后出现。截至10月下旬的公开记录中，没有任何具名公司为“其机密遭到曝光”的说法背书。

一个历史被抹去的开源发布版本

将客户端开源是 Zhipu 最倚重的补救措施，但这也留下了一个漏洞。The Paper 报道称，已发布的仓库包含两次提交：一次空的初始提交，以及一次添加了约 6,973 个文件和 103 万行的单次提交；同时拉取请求被锁定、议题被关闭。无论发布时上传流水线是什么样子，也无论哪些版本包含它，如今任何人都能读到的历史中都没有这些信息。

Ferstar 自己的后续说明明确了这一限制。他确认上传管道已经不存在，而剩余的检查点机制只进行本地 Git 操作，随后指出对存储桶的审计能说明什么、不能说明什么：清空并删除存储桶是正确的止损措施，但在 9 月 20 日之后进行的第三方检查只能证明该存储桶在当时是空的。它无法还原 9 月 18 日之前有哪些数据经过、是否有任何内容被解密、复制或备份，也无法还原该管道已运行了多久。关于删除的说法在很大程度上仍依赖删除方的说法。

InfoQ 的分析用同样的表述列出了仍然悬而未决的问题：成功上传了多少个仓库快照、由多少用户上传，对象被保留了多长时间，哪些服务端系统或工作人员能够解密它们，是否存在完整的访问日志，以及删除是否涵盖备份和其他副本。它还指出了修复之后 ZCode 仍然是什么。项目自身的 NOTICE 警告称，共享代理运行时默认不提供操作系统级沙箱，而客户端仍保留 shell、终端、Git、MCP、插件和嵌入式浏览器等入口，这些入口可以在用户账户权限范围内读取文件、启动进程并访问网络。

哪些已有定论，哪些尚无来源可答

机制本身没有争议。Zhipu 自己的声明承认，代码仓库数据被上传，该功能默认开启，而且数据进入了公司控制的云存储桶。Ferstar 的测量结果、供应商的道歉、两次委托审计以及开源发布，都描述了同一条链路。记录中没有任何内容质疑：工作区在没有可行退出选项的情况下离开了机器。记录所记载的损害是已经实际发生的，而非假设性的：传输确实发生了，而代码身处其中的人既无法阻止也无法检查这些传输。

有争议的，或者说根本未知的，是规模和后果。没有任何来源说明有多少用户运行了受影响的默认设置、该流水线在9月18日之前运行了多久，或者是否有任何上传对象曾被解密。Zhipu 关于数据在生成 wiki 后被销毁且从未用于训练的保证，是该公司自己的陈述；CAICT 和 NSFOCUS 的发现描述的是修复后存储桶的状态，而不是曾流经它的内容。该档案在文档方面将记录评为 A，而文档在机制上很强，在范围上很薄弱。

哪些变了，哪些没变

商业代价立即显现。中央人民广播电台报道称，智谱港股9月21日下跌1.79%，9月22日下跌6.55%，9月23日下跌12.4%，三个交易日累计跌幅超过16%，且智谱未说明有多少用户受到影响，也未说明历史数据是否已被解密或备份。

一位 ZCode 用户在发现后的四天里实际收到了什么：

• 9月18日：公开道歉并指出代码库索引是原因，承诺开源客户端并委托第三方审查，以及每位用户每周额外一次配额重置。

• 9月19日：ZCode 3.14.0，Repo Wiki 被移除，本地快照生成与上传路径被砍掉。Ferstar 于次日确认上传链路已不存在。

• 9月20日：智谱MaaS平台宣布推出零留存选项，需用户主动选择加入，不包含Batch API与File API，且仍须遵守30天或更长的法定数据留存要求。

• 9月21日：ZCode 以 Apache 2.0 许可证发布，但未包含其事件发生前的提交历史；CAICT 与 NSFOCUS 的摘要报告称存储桶为空、出网路径缺失。

这一切都无法追溯既往。Chengming 提出的那些具体问题——数据去了哪里、谁能够解密、它是否出境，以及“销毁”涵盖了哪些内容——都已书面提出，并设定了 10 月 10 日的截止期限，随后又连同提出这些问题的公司一起被撤回。智谱承诺会提供一份完整的第三方评估报告，但没有给出日期。在这样一份报告出现之前，关于这条流水线如何处理其收到的数据，唯一的公开说法来自构建它的公司；而唯一可独立测量的实物证据，是一个 313 MB 的文件，它曾 564 次未能离开一名开发者的笔记本电脑。