智谱ZCode被指偷传代码遭企业追责

9月20日，ZCode“静默上传代码”风波从技术质疑升级为企业追责。太原承明科技向ZCode运营方北京智谱华章发出函件，称ZCode未经充分告知和授权上传其数据资产及商业秘密，要求就数据删除、流向、操作日志、责任主体及可能的数据出境等问题整改，并于10月10日前书面答复，同时保留索赔、投诉和诉讼权利。

承明科技称，取证发现上传并非偶发代码片段传输，而是自动、批量触发的完整归档，可能涉及源代码、系统架构、版本控制历史、数据库口令、云服务凭证及员工个人信息。其还称在智谱9月18日致歉当日凌晨仍检测到上传行为，质疑“问题已修复”的时间与效果。函件还要求说明此前数据是否彻底删除、是否跨境传输，因ZCode部分请求指向新加坡主体，而签约方为北京智谱华章。

截至发稿，智谱未公开回应函件。风波起点是开发者ferstar发现ZCode在用户目录生成超300MB加密包并反复尝试上传。他拆解客户端后发现，ZCode会请求上传凭证，将项目压缩加密后上传至阿里云OSS；一份15KB公开仓库快照显示已被服务端接收。样本中.git目录占数据包86.6%，可能包含完整提交历史、已删除密钥、未推送分支及内部域名。旧版设置中“体验优化”和“仓库快照索引”均不能阻止本地上传链路，删除文件后约半小时又会重新生成。

9月18日，智谱发布说明致歉，承认“代码库索引”功能可能触发仓库数据上传，称数据在Wiki生成后立即销毁、不会保存，问题已修复，并将开源代码库、引入第三方审查。9月20日最新版3.14.0中，ferstar检查称上传代码已移除，接口返回404，与“已修复”基本一致。

但三个问题仍无公开答案：影响范围多大，历史数据是否彻底删除，开源承诺如何落地。客户端更新只能阻止新上传，无法证明旧数据已不存在。