智谱ZCode数据风波升级：企业质疑代码库被自动上传及疑似跨境传输

事件概述

智谱（Zhipu AI）旗下AI编程工具ZCode因“偷传数据”问题陷入舆论漩涡。在智谱初步道歉后，太原承明科技有限公司（以下简称“承明科技”）于9月19日公开致函，进一步披露了数据上传的具体细节，并重点质疑数据流向及合规性问题，要求智谱在10月10日前给予书面答复。

核心事实梳理

1. 数据上传机制与范围争议

• 自动上传行为：个人开发者ferstar最早于9月18日揭发，ZCode客户端在用户登录状态下，会自动生成包含完整Git历史、LFS缓存、reflog等工作区快照的加密压缩包，并上传至阿里云OSS。该机制默认开启，且界面中无有效关闭开关。
• 实际上传内容：承明科技通过技术取证发现，2024年8月28日至9月14日期间，其6个工作区被上传，最大体积达391.94MB。上传内容不仅限于“代码片段”，而是结构完整的归档文件，包括：
  • 项目完整源代码及系统架构设计；
  • 完整的版本控制历史（含已删除提交和引用日志）；
  • 数据库口令、接口密钥、云服务凭证及证书；
  • 员工及终端用户的个人信息；
  • 未公开的研发规划和商业计划。
• 对比隐私政策：上述收集范围远超《ZCode隐私政策》中声称的仅收集“代码片段”的承诺。

2. 数据流向与跨境传输嫌疑

• 域名指向：ZCode客户端的网络请求均指向 zcode.z.ai 和 cdn-zcode.z.ai 域名。
• 主体归属：据WHOIS信息及Z.AI平台协议，上述域名的缔约主体及个人数据控制者为 JINGSHENG HENGXING TECHNOLOGY PTE.LTD，注册地为新加坡。智谱在港交所招股书中确认，该公司为智谱于2023年11月在新加坡注册的间接全资子公司。
• 政策冲突：
  • 英文版/新加坡主体政策：明确声明“服务通常自新加坡提供”、“个人数据通常在新加坡处理”。
  • 中文版/国内主体政策：规定服务提供方为“北京智谱华章科技股份有限公司”，并承诺“所有在中国境内运营中收集、产生的个人信息存储于中国境内，不会跨境传输或存储”。
• 质疑点：承明科技据此质疑，实际数据处理主体是否为境外公司，以及是否存在违规跨境传输或存储行为。

3. 智谱回应与现状

• 初期解释：智谱曾解释称问题源于“代码库索引”功能（用于会话恢复和仓库百科），上线初期默认开启导致受影响。智谱承诺云端生成的Wiki页面数据会“立即销毁”，并未保存。
• 修复措施：智谱已发布ZCode v3.14.0版本，更新日志显示“修复仓库百科异常上传的问题”，并宣布将开源代码库引入第三方审查。
• 当前状态：截至发稿，智谱尚未对承明科技的正式函件作出回应。

承明科技提出的11项要求

承明科技在函件中要求智谱：

1. 停止相关数据处理行为；
2. 删除已上传的数据及缓存备份；
3. 披露数据处理及访问记录；
4. 说明是否与第三方共享数据；
5. 说明数据是否用于模型训练；
6. 提供数据删除证明；
7. 说明实际数据处理主体；
8. 说明是否存在跨境传输或境外存储；
9. 其他合规性说明要求。

承明科技表示，若未在10月10日前获得满意答复，将保留进一步采取法律行动的权利。