🔒Открыть пост
и посмотреть медиа
и посмотреть медиа
Z․ai открыла исходники ZCode под Apache 2.0 и извинилась перед пользователями. Поводом стала находка 18 сентября: разработчик обнаружил, что ZCode без спроса пакует рабочую папку вместе со всей историей Git и отправляет зашифрованный архив в облако Alibaba.
У него в ~/.zcode/v2/checkpoints/ лежал снимок коммерческого проекта на 313 МБ, почти 87% объёма занимала папка .git: все коммиты, LFS и рефлоги с незапушенными ветками. Большой архив не ушёл за 564 попытки, а снимок маленького репозитория сервер принял. Ключ расшифровки есть только у Z․ai, и оба переключателя в настройках на сбор не влияли.
Снимки делались ради Repo Wiki, отката версий и чекпойнтов сессий. В ZCode 3.14.0 Repo Wiki убрали вместе со всей цепочкой выгрузки. Компания заявляет, что код пользователей не хранится и модели на нём никогда не обучали, а бакет zcode-prod удалён, это проверили CAICT и NSFOCUS. Полный отчёт аудита обещают позже, за найденные уязвимости теперь будут платить.
@neuro_channel