来源：ZCode公众号

(资料图片仅供参考)

此前，一场围绕代码上传的数据隐私风波，将ZCode以及智谱推至舆论中心。9月18日，个人开发者ferstar发布的一篇名为《扒一扒ZCode静默上传全量Git历史的骚操作》的博文，在开发者社群引起轩然大波。

根据ferstar的博客，其清理本地磁盘时意外发现，用户目录下的“~/.zcode”文件夹占了700多MB。排查后，其找到一个313MB的加密文件，状态文件显示该文件包括了自己某个10G大小的商业项目的几乎全部核心资产，但由于上传失败一直卡在本地，被发现时已失败了564次。

为了弄清文件从何而来、准备传向哪里，ferstar拆开了客户端程序包查看代码。经过逆向分析，他发现只要用户处于登录状态，ZCode桌面端就会在后台静默把整个工作区加密打包，并直接上传到阿里云OSS。

更重要的是，被打包上传的内容不仅包含当前项目的源代码，还包括完整的Git版本历史、LFS大文件缓存、reflog记录以及部分全局开发配置文件，几乎覆盖了项目的全部核心研发资产。

“一石激起千层浪”，“ZCode偷传数据”的说法由此迅速在社交平台扩散。

9月18日下午，ZCode通过智谱官方群组向受影响用户致歉并说明情况。官方解释称，相关问题源于ZCode的“代码库索引”功能，该功能旨在支持历史版本回退、会话检查点恢复以及Repo Wiki（代码知识库）生成等，其中Repo Wiki功能在云端生成页面时会触发仓库数据上传。

智谱当时表示，由于该功能在上线初期默认开启，导致部分用户因此受到影响。但官方承诺，Wiki页面在云端生成后，“相关上传数据会立即销毁，不会保存”，并称目前相关问题已经修复。9月19日，ZCode推送3.14.0版本，更新日志写明“修复仓库百科异常上传的问题”。

但这份说明并未消除所有疑问。社交平台上，用户对智谱及ZCode的质疑仍甚嚣尘上，与此同时，争议的焦点也从“偷传数据”转向“立即销毁如何从外部证明”“云端到底留存了什么”“官方有没有把代码数据用于模型训练”等多方面。

9月21日，智谱宣布，已将ZCode开源，把代码交给社区监督，让ZCode变得开放、透明。

彼时，智谱在公告中表示，ZCode v3.14.0客户端已完成安全整改，已经移除Repo Wiki功能，切断本地仓库快照生成与上传链路；并称经中国信息通信研究院技术评测，相关阿里云OSS（对象存储服务）存储桶状态为云端零数据，绿盟科技则确认相关数据对象及存储桶本身已经删除。