ZCode wysyłał repozytoria do chmury. Co robić?

ZCode, desktopowy agent do kodowania od Z.ai, firmy stojącej za modelami GLM, u zalogowanego użytkownika przed każdym promptem pakował folder projektu razem z historią Git i wysyłał paczkę do chmury Alibaba. Wyłączenie opcji w ustawieniach tego nie zatrzymywało, a polityka prywatności nic o tym nie mówiła. Sprawę 18 września opisał programista, który ją wykrył. Z.ai przeprosiło, w wersji 3.14.0 usunęło funkcję Repo Wiki, z którą wiąże wysyłkę, a 20 września opublikowało kod aplikacji na licencji Apache 2.0. Jeśli używasz ZCode, zaktualizuj go co najmniej do 3.14.0 i sprawdź, jakie klucze były zapisane w projektach, które w nim otwierałeś.

Co ustalił odkrywca

Analizę opublikował na swoim blogu programista podpisujący się jako ferstar, który sam płacił za abonament GLM Coding Plan. Po rozpakowaniu aplikacji opisał taki mechanizm:

• Co szło do chmury: migawka całego katalogu roboczego (bez m.in. node_modules). W jego przypadku folder .git stanowił prawie 87 proc. paczki, czyli wysyłana była cała historia projektu, a więc także klucze, jeśli kiedyś trafiły do commita, nawet gdy później zniknęły z kodu.
• Dokąd: aplikacja pobierała poświadczenia z serwera zcode.z.ai, a paczkę wysyłała prosto do magazynu plików Alibaba Cloud OSS. Pod tą samą domeną działa anglojęzyczna strona ZCode, więc nic nie wskazuje, by mechanizm był ograniczony do użytkowników w Chinach.
• Kiedy: przed wysłaniem każdego promptu, o ile użytkownik był zalogowany. Dwa przełączniki w ustawieniach (Optimize Experience i Repo Snapshot Indexing) nie wyłączały ani pakowania, ani wysyłki.
• Jak: paczkę szyfrowano kluczem publicznym RSA przysłanym przez serwer, a klucz prywatny był tylko w chmurze firmy. Odszyfrować ją mogła więc tylko firma, a nie użytkownik ani sama aplikacja.

Autor doprecyzował później ważną rzecz. Jego komercyjny projekt (313 MB) nie opuścił komputera: przekraczał limit rozmiaru i po 564 nieudanych próbach utknął w kolejce. Mały publiczny projekt (538 plików, ok. 15 KB po spakowaniu) serwer natomiast przyjął. Wysyłka działała, ale nie każdy projekt musiał dotrzeć do chmury.

Polityka prywatności ZCode, obowiązująca od 15 czerwca 2026, mówi o zbieraniu tekstu, plików i kodu przesłanych w rozmowie z agentem. O pakowaniu całego folderu projektu nie ma w niej ani słowa.

Co mówi Z.ai

W oświadczeniu z 21 września na profilu @zcode_ai firma przeprasza wszystkich użytkowników i zapewnia, że dane, o których mowa, nie są przechowywane i nigdy nie posłużyły do trenowania modeli. Powołuje się na dwie zewnętrzne oceny. Chińska Akademia Technologii Informacyjnych i Komunikacyjnych (CAICT) stwierdziła, że zasobnik plików (bucket) zcode-prod w Alibaba Cloud OSS nie zawiera danych. Firma NSFOCUS, zajmująca się cyberbezpieczeństwem, potwierdziła usunięcie wszystkich plików i samego bucketu. Obie oceny mówią też, że wersja 3.14.0 nie ma już Repo Wiki ani działającej ścieżki tworzenia i wysyłania migawek repozytorium. Z.ai zapowiada też stały proces zgłaszania luk i reagowania na nie, z nagrodami zależnymi od wagi problemu, oraz publikację pełnego raportu z audytu.

Warto pamiętać o dwóch rzeczach. W oświadczeniu nie ma liczby użytkowników, których dotyczyła wysyłka. A audyt przeprowadzony po fakcie pokazuje stan z chwili badania: pusty lub usunięty bucket nie mówi, co działo się z danymi wcześniej. Na oficjalnej liście zmian w wersji 3.14.0 z 19 września całą sprawę opisuje jedna linijka o naprawie „nietypowych wysyłek” w Repo Wiki.

Otwarty kod, ale bez historii

Repozytorium zai-org/ZCode na licencji Apache 2.0 obejmuje aplikację desktopową, interfejs w przeglądarce i agenta w terminalu (polecenia zcode i zcode --web). To otwarty kod aplikacji, a nie otwarte wagi modelu: GLM dalej działa na serwerach Z.ai.

Historia repozytorium obejmuje tylko trzy commity: początkowy pusty, commit z pełnym kodem („feat: open source”) i commit z aktualizacją do wersji 3.14.3. Nie da się więc prześledzić, jak wyglądał mechanizm wysyłki ani jak go usuwano. Zgłoszenia (Issues) na GitHubie są wyłączone. Odkrywca przejrzał opublikowany kod oraz wersję 3.14.3 aplikacji i nie znalazł w nich mechanizmu wysyłania migawek, zastrzegając, że zgodność kodu z pobieraną aplikacją potwierdziłaby dopiero powtarzalna kompilacja, czyli zbudowanie z opublikowanego kodu identycznej aplikacji. Podobny scenariusz przerabialiśmy w lipcu przy Grok Build: cicha wysyłka repozytoriów, przeprosiny, kod na GitHubie.

Co zrobić, jeśli używasz ZCode

• Sprawdź wersję: poprawka jest w 3.14.0, aktualna wersja to 3.14.3. Od 3.14.0 w menu Help jest pozycja Check for Updates. Jeśli masz starszą, pobierz instalator ze strony ZCode.
• Przejrzyj projekty otwierane wcześniej w ZCode: jeśli w folderze albo w historii Git były klucze API, hasła do bazy czy tokeny, wymień je, czyli wygeneruj nowe i unieważnij stare. Jeśli klucz trafił kiedyś do commita, samo usunięcie go z kodu nie wystarczy, bo zostaje w historii .git.
• Dane osobowe: jeśli prowadzisz firmę, a w repozytorium leżały dane klientów (zrzut bazy, eksport CSV), przekaż sprawę osobie odpowiedzialnej u Ciebie za RODO. Polityka prywatności ZCode wskazuje jako administratora spółkę z Singapuru i podaje, że dane są zwykle przetwarzane w Singapurze, czyli poza EOG. Czy doszło do naruszenia, które trzeba zgłosić, rozstrzyga ocena konkretnego przypadku.
• Na przyszłość: agent działający na komputerze ma dostęp do całego folderu, który mu wskażesz. Nie trzymaj w folderze projektu pliku .env z kluczami produkcyjnymi. Przed pierwszym uruchomieniem przeczytaj politykę prywatności. Sprawdzaj, czy możesz ograniczyć aplikacji dostęp do plików i sieci: otwarty kod ułatwia kontrolę, ale sam nie gwarantuje bezpieczeństwa.

GLM bez aplikacji ZCode

Abonament GLM Coding Plan, opisywany u nas w lipcu razem z ZCode, nie jest powiązany wyłącznie z tą aplikacją. Według dokumentacji Z.ai działa też w Claude Code, Cline i OpenCode, a ten ostatni jest projektem open source. Z modeli GLM, w tym z GLM-5.3, na którym opiera się dziś ZCode, możesz więc korzystać także bez aplikacji ZCode.