研究人员发现，Z.ai 的 ZCode 在没有可用的退出选项的情况下上传完整的 Git 历史记录
逆向工程发现，每当开发者使用已登录的桌面应用时，会将加密的工作区快照发送到 Aliyun OSS。
By Ryan Merket · Published
Primary source: X - J. F. Zhang
为何重要
编码代理获得广泛的文件系统访问权限。未披露的完整仓库快照会将这种访问权限转化为对开发者和雇主的源代码治理风险。
J. F. Zhang (@ferstar_org) 在 9 月 18 日报告称，Z.ai 的 ZCode 桌面应用会打包开发者的工作区（包括完整的 Git 历史），并将加密快照上传到 Alibaba Cloud's Object Storage Service，且没有可行的用户选择退出机制。
Zhang 在为一台 256GB 存储的 MacBook 清理空间时发现了该管道。本地 ~/.zcode 目录增长到超过 700MB，其中在 ZCode 的 checkpoints 目录下有一个 313MB 的加密文件。在他与 X 线程一并发布的 取证报告 中，Zhang 表示该归档代表了一个 345MB 的活跃商业项目快照，并已累计 564 次上传失败尝试。…
When you purchase through links in our articles, we may earn a small commission. This doesn’t affect our editorial independence.