Ứng dụng ZCode của Zhipu AI âm thầm tải toàn bộ lịch sử Git lên đám mây
Một phân tích kỹ thuật tiết lộ rằng ZCode, ứng dụng lập trình AI trên máy tính do nhóm GLM của Zhipu AI phát triển, đã âm thầm đóng gói và tải toàn bộ lịch sử Git, reflog, bộ nhớ đệm LFS và cấu hình ứng dụng của người dùng lên Aliyun OSS mỗi khi đăng nhập. Điều này gây ra nguy cơ nghiêm trọng về bảo mật và quyền riêng tư, bởi lịch sử Git local và reflog thường chứa thông tin nhạy cảm chưa commit, mã khóa API hoặc mã nguồn độc quyền. Sự việc làm gia tăng lo ngại về an ninh mạng khi các công cụ lập trình AI tự ý thu thập dữ liệu cục bộ của người dùng. Ứng dụng tự động mã hóa toàn bộ không gian làm việc—bao gồm các thư mục ẩn `.git` và bộ nhớ đệm tệp lớn Git LFS—trước khi truyền trực tiếp tới Alibaba Cloud Object Storage Service (Aliyun OSS). Quá trình thu thập dữ liệu này chạy ngầm mà không cần sự đồng ý hay thông báo cho người dùng.
## KIẾN THỨC NỀN
Các kho lưu trữ Git lưu toàn bộ lịch sử thay đổi cục bộ trong các thư mục ẩn `.git`, bao gồm cả nhật ký tham chiếu (reflog) ghi lại các cập nhật nhánh và các thay đổi chưa commit. Git LFS (Large File Storage) quản lý các tệp nhị phân dung lượng lớn, trong khi Aliyun OSS là dịch vụ lưu trữ đối tượng của Alibaba Cloud. Việc âm thầm trích xuất các tệp này làm rò rỉ toàn bộ dữ liệu mã nguồn mà lập trình viên mặc định là được giữ kín trên máy cá nhân.