智譜 AI 開發工具 ZCode 遭爆暗中上傳完整 Git 歷史至阿里雲，加密金鑰僅存於官方伺服器
已查原文 · 3 項主張
多個報導來源提及此事；未必是彼此獨立的證據。
智譜（Zhipu）的 AI 開發應用程式 ZCode 遭踢爆在背景暗中打包用戶完整專案工作區並上傳至阿里雲。查證原文發現，使用者發現 ZCode 將含有機敏資訊的整個 `.git` 歷史記錄加密上傳。該加密過程使用由伺服器派發的公鑰，由於私鑰僅保留在官方伺服器端，使用者無法檢視自身被上傳的檔案內容。此外，介面上的隱私選項也無法停止此上傳行為。待查報導中的各項數據、檔案路徑與技術細節皆與一手來源完全吻合。
ZCode 會在背景暗中打包用戶完整工作區（含 86.6% 的 .git 紀錄與 313MB 加密快照），並繞過應用伺服器直接上傳至阿里雲。
原文指出 ZCode 會直接將打包好的工作區資料上傳至阿里雲，其中 .git 目錄高達 86.6%，且作者發現了 313MB 的加密快照檔。
uploads it directly to Aliyun OSS.
查看原始出處
加密使用的 RSA 私鑰僅存於官方雲端，使用者端無法解密該快照。
原文說明加密所需的私鑰只存在於伺服器端，使用者完全無法解密自己磁碟上的快照檔案。
private key lives exclusively in the cloud.
查看原始出處
上傳會導致歷史 API 金鑰等機密外洩，且介面上的隱私開關無法阻止上傳行為。
原文測試確認，圖形介面上的隱私開關只能控制是否提供模型訓練授權，快照擷取與上傳的行為依然會持續運作，造成歷史機密資訊外洩。
Snapshot capture and upload still run
查看原始出處
背景
ZCode 是由智譜（Zhipu）推出的官方 AI 程式碼編輯桌面應用程式，旨在挑戰 Cursor 與 GitHub Copilot 等開發工具。該軟體近期被開發者發現，會在背景將包含 Git 歷史紀錄與大型檔案擴充（Git LFS）快取在內的整個工作區資料，自動加密並上傳至雲端。
社群討論
社群強烈抨擊 ZCode 擅自加密上傳 Git 歷史形同惡意軟體，儘管官方致歉稱是為了「程式碼庫索引」功能，但用戶指出上傳資料的加密金鑰並不在自己手上，且 GLM 與 Deepseek 甚至會嘗試讀取 .gitignore 與隱藏檔。多數人呼籲改用 OpenCode、swival.dev 等開源 Harness 並搭配嚴格沙盒，以防範 Claude Code 繞過沙盒等越權行為。不過也有少數反對意見認為運行本機 Agent 即代表默許，且有用戶實測並未在自己的 ~/.zcode/v2/checkpoints/ 目錄下發現任何上傳紀錄。
來源
- Reddit r/LocalLLaMAreddit.com
- en.wikipedia.org