No.0380

Science Partner

Bring you to the side of

导 读

很多科技公司的“危机”，都不是从什么惊天动地的大事开始的。

9月18日，一名网名为Ferstar的开发者，只是想给电脑腾点空间，然后他发现，自己Mac电脑里的~/.zcode目录已经占了700多MB。继续往下找，又发现一个313MB的加密文件。这个文件来自智谱旗下AI编程工具ZCode。

问题来了。

一个AI编程助手，在本地留下一个几百MB、连用户自己都无法解开的加密文件，到底装了什么？

走，跟伙伴君来！

今日主笔｜晶恒

智谱ZCode拿走是代码，还是你AI时代的底牌？

Ferstar随后对ZCode客户端进行了逆向分析。

他的结论是：ZCode会把工作区打成快照，其中不只是当前正在写的代码，还包括完整的.git目录、Git LFS缓存、提交历史、reflog以及部分全局配置，然后在本地加密，再上传到阿里云OSS。Ferstar分析的一个快照共有42411个文件，其中.git相关内容占到了86.6%。虽然313MB商业项目快照因上传失败留在本地，但他另一个较小的公开仓库存在服务端接收记录。

如果这个发现只来自一个人，还可以怀疑是不是特殊环境、旧版本或者配置问题。但很快又有一名Windows用户在ZCode官方GitHub反馈区提交了自己的取证结果。他使用的是ZCode 3.12.3版本，设置文件中的repoSnapshotIndexingEnabled明确为false，但软件仍生成了约256MB的加密快照。其快照清单包括12188个源码和文档文件、.git/objects以及全局设置。该用户还依据本地状态文件和程序逻辑判断，至少有一个工作区的快照曾获得服务端确认接收。这个问题截至9月19日仍在官方GitHub仓库中处于“待评估”状态。

智谱随后作出回应。

据其说明，问题来自ZCode的“代码库索引”功能。这个功能原本用于会话检查点恢复、历史版本回退和Repo Wiki。其中Repo Wiki生成页面时可能触发仓库数据上传，该功能上线初期默认开启。智谱表示，云端Wiki生成后，上传的数据会“立即销毁，不会保存”，目前相关问题已经修复，并宣布近期将开源ZCode代码库、引入第三方评估。

到这里，先不要急着给这件事下一个最刺激的结论。

目前没有公开证据证明智谱把这些代码拿去训练模型，也没有证据证明它出售、复制或者利用这些代码开发竞争产品。所以，说“智谱已经把创业者的代码拿去训练自己的AI”，证据不够。但如果把这件事轻描淡写成一个普通Bug，同样低估了问题。因为它碰到的是AI时代一个可能比“模型聪明不聪明”更重要的问题：

当AI越来越深入我们的工作，它到底有权看到多少东西？

/ 01 / 你让AI改一段代码，它需要知道你整个的过去吗

使用AI编程工具，当然意味着要向模型提供代码。你让一个程序员修Bug，也得让他看看代码。AI也一样。问题在于，“为完成任务提供必要上下文”和“把整个代码仓库连历史一起拿走”，不是一个概念。

最容易被普通用户忽略的，就是.git。

Git不是一个普通文件夹。它更像一家软件公司的“考古层”。你今天看到的项目目录，只是代码现在的样子，而.git里保存的却可能是这个项目过去几个月甚至几年的变化。一个功能什么时候开始做，后来为什么删掉？某个内部接口以前叫什么？哪些模块还没有发布？团队曾经测试过什么方案？历史版本里有没有提交过API Key、Token、数据库地址、内部服务器地址……即使这些内容后来从当前代码中删除，也不意味着它们已经从Git历史里消失。

GitHub自己的官方文档专门提醒开发者：密码、Token等敏感信息一旦进入版本历史，即便后来删除当前文件，仍可能继续存在于历史提交、克隆仓库、缓存引用甚至其他开发者的副本中。正因为如此，GitHub建议一旦凭据进入Git历史，首先应当撤销或者轮换而不是简单删除文件。

这也解释了Ferstar发现中重视的一点：真正敏感的未必只是那46MB的当前源码。反而是另外近300MB的.git相关内容，其中包括超过100MB的Git历史对象，以及近200MB的LFS大文件缓存。因为代码告诉别人“你现在在做什么”，而完整的Git历史有时能够告诉别人：你过去怎么想、失败过什么、准备往哪里走。对一家还没有发布产品的创业公司来说，这可能比代码本身有价值得多。

/ 02 / “加密上传”解决不了这个问题

看到这里可能有人会说：不是加密了吗？！

确实加密了。

按照Ferstar的逆向结果，ZCode会先把工作区快照加密，再上传到阿里云OSS。简单说，就是先给文件上锁，再把“开锁的钥匙”用另一把锁封起来，真正能够打开这把锁的能力其实在服务端。所以“上传的数据经过加密”这件事，本身并不能消除争议。咱们就说，押运贵重物品的车当然应该上锁。上锁说明东西在运输途中不容易被别人抢走。但如果车里装的东西，本来就没有得到物主同意，那么车锁得再严，也只能证明“运得比较安全”，不能证明“这些东西本来就应该被运走”。

ZCode这里也是同一个道理。

加密首先解决的是：代码从你的电脑传到云端时，会不会轻易被路上的第三方看到。但这些代码，尤其是整个工作区和Git历史，为什么需要离开用户的电脑？当然，服务端具有解密和处理这些数据的技术能力，并不等于智谱已经人工查看过这些代码，更不能据此认定它拿这些代码做了模型训练。很多正常的云服务为了搜索、索引或者生成内容，本来就需要在服务器端处理用户提交的数据。但智谱确实也没讲明白为什么必须上传？完成Repo Wiki、版本恢复这些功能，为什么需要把Git历史也放进快照？为什么有用户发现相关设置已经关闭，快照仍然会生成？上传以后到底保存多久？智谱所说的“立即销毁”，究竟是Wiki生成后删除临时文件，还是连OSS上的加密快照也一并删除？以前已经上传过的数据，用户能不能查到？能不能要求删除？

9月18日智谱的回应解释了为什么会发生上传，也承诺已经修复问题，但这些更具体的数据流向和生命周期问题，目前大家还在等智谱一个明确的回复，因为它没有完全说清楚。

/ 03 / AI公司最缺的东西，恰好也是创业者最贵的东西

这件事往禁不住深想，因为仔细一琢磨就会发现，这应该不只是ZCode的问题了。

今天做AI，什么最贵？算力很贵，人才很贵。但还有一样东西越来越贵：高质量、真实世界的数据。互联网上当然有海量公开代码，但公开代码和一家真正运转的创业公司的代码仓库，并不是一种数据。一个真实项目里有需求、有错误、有修复、有架构妥协、有性能优化，有一个团队为了某个实际问题连续几个月甚至几年留下的思考轨迹。这是一种非常特殊的数据。

它不是一道数学题和标准答案，更像是问题是怎么出现的，人类尝试了哪些办法，哪些办法失败了，最后为什么选择了现在这一种。从训练智能系统的角度看，这种数据天然具有高价值。也正因为如此，美国联邦贸易委员会早在2024年就专门提醒AI行业：模型公司存在持续获取更多数据的商业激励，这种“数据胃口”可能与企业保护用户数据的义务发生冲突，甚至可能导致对客户“具有竞争意义的数据”的占有。FTC还特别指出，企业在使用AI服务时可能输入内部文件、客户信息等机密资料，而AI服务商甚至可能据此推断客户的业务规模和增长情况。

这段话今天重新看，很有意思。

很多人谈AI时代的知识产权，第一反应还是：AI会不会抄我的文章？AI画的图算谁的？模型训练用了谁的版权作品？但AI Agent时代出现了另一个方向。以前的问题是：AI训练以前用了谁的数据？以后越来越重要的问题可能是：AI在为你工作的时候，又获得了你的什么数据？

这两件事完全不同。前者主要讨论训练集，后者直接进入企业日常经营。当AI能看邮件、数据库、代码库、合同、会议纪要、财务报表以后，AI公司理论上接触到的，不再只是公开互联网。而可能是一家公司最真实、最新、从未公开过的内部世界。

这才是Agent时代真正迫切却又没有边界的东西。

/ 04 / 创业者会不会变成AI公司的“免费脑力提供者”

从这个角度看，一个更尖锐的问题就出现了。

AI原本给小公司带来了巨大机会。过去要十几个程序员完成的事情，现在几个年轻人配合AI也许就能做；不会写完整代码的人，也能快速把想法做成产品。技术第一次大规模降低了创业门槛。

但反过来说，如果创业者为了使用一个AI工具，需要默认交出自己的代码、产品设计、迭代记录乃至历史失败方案，那么事情就会变得非常微妙。创业者承担了研发成本、程序员熬夜、公司承担失败、用户提供真实反馈...最后沉淀出的代码仓库，是一家公司用钱、时间和智力共同形成的资产。

如果平台可以在用户没有充分感知的情况下取得这些数据，那么用户实际上给了平台一种非常有价值的东西：对自己研发资产的访问权。把这直接称为“免费替AI公司训练模型”，现在虽然还没有确凿证据？但可以把它理解成一种数据期权。平台今天也许没有使用这些数据，但只要数据已经进入服务器，而用途、保存期限、训练边界、删除机制没有被严格限制，决定这些数据未来能做什么的权力，就不完全掌握在创造数据的人手中了。

这个变化很重要。

知识产权最核心的问题，从来不只是“东西最后有没有被偷走”。还有一个问题是：谁控制它。中国现行《计算机软件保护条例》明确规定，独立开发的软件受到著作权保护，源程序和目标程序属于同一作品。与此同时，一些没有公开、具有商业价值并采取了保密措施的技术信息，还可能符合商业秘密的法律条件。2025年修订的《反不正当竞争法》仍然明确把“不为公众所知悉、具有商业价值并经权利人采取相应保密措施”的技术信息、经营信息纳入商业秘密保护范围。

也就是说，一个代码仓库里实际上可能同时存在好几层权利：有软件著作权、有商业秘密、有客户资料、有可能存在开发者、员工和用户的个人信息等等。所以也不能简单统称为“隐私”，也同样不能因为它叫“代码”，就把它当成普通文件。如果其中涉及个人信息，中国《个人信息保护法》要求处理具有明确、合理目的，与处理目的直接相关，并采取对个人权益影响最小的方式。收集范围应限于实现目的所必需的最小范围，同时要求公开、透明地说明处理目的、方式和范围。

这里有一个词，可能会越来越重要：最小必要。它其实一点都不复杂。你让我帮你改这一段代码，那我就看这一段，以及完成任务真正需要的上下文。你让我生成一个项目Wiki，那我就读取生成Wiki所必需的文件。但如果为了完成一个眼前的任务，顺手把整个项目、历史版本、已经删除的文件、过去的失败方案也一起拿走，这叫咋回事？所以 “我的隐私政策里写了我有权处理用户数据”这张免死金牌不能挽救所有 AI公司，也不能堵住所有用户的嘴，以后真正需要回答的是“我现在要替你完成这件事，究竟需要知道多少？”能拿到多少，是技术能力。应该拿多少，才是规则。

ZCode这次风波提供了一个非常具体的样本。

AI正在给普通人前所未有的能力。一个年轻人坐在出租屋里，今天可以调用过去只有大公司才能拥有的编程、设计、研究和数据分析能力。这是AI最有价值的一面。但这种生产力革命有一个前提：AI应该放大创业者的知识资产，而不是让创业者在不知情的情况下，把自己的知识资产变成平台可以取得的数据。开发者付钱购买AI，天然不是为了把自己多年积累的代码、失败、经验和商业判断赠送出去。他买的是工具！不是一份看不见的数据交换合同。未来AI行业真正高级的竞争，也许不是谁能让Agent再多写10%的代码。而是谁能够让一个创业者放心地说：

我愿意把公司最重要的东西交给你，因为我知道，你只会拿走完成这件事真正需要的那一部分。

我是晶恒，咱们下期见～

本文仅作科普分享使用，欢迎小伙伴们点、收藏、关注，以备不时之需，当然更欢迎您把 介绍给周边可能需要的更多伙伴们呀。