他在电脑前写代码，硬盘里突然多出 700 兆被加密的文件。 这批文件连他自己都打不开。 因为用来解密的私钥，在远端服务器…

他在电脑前写代码，硬盘里突然多出 700 兆被加密的文件。 这批文件连他自己都打不开。 因为用来解密的私钥，在远端服务器手里。 而他桌面上开着的人工智能编程助手，正在后台抓紧时间，把这些密文往公有云上送。 这不是黑客种进来的勒索软件。 这是刚刚在香港挂牌上市的中国人工智能第一股，智谱旗下的编程工具 ZCode 干出来的事。

事情是独立安全研究员 Ferstar 在 2026 年 9 月 18 日捅出来的。 他在排查系统资源时发现，ZCode 的本地应用目录里，塞着 700 多兆的加密快照。 日志里还躺着成百上千条上传失败的重试记录。 目的地指向同一个地方：阿里云对象存储。

一个写代码的辅助软件，到底在往云上偷运什么？ 有人可能会想，AI 帮人写代码，传几行代码上去分析，不是很正常吗？ 问题出在打包的范围上。 ZCode 在后台打包时，根本没有边界。 它把整个本地工作区，连同藏在最底层的 .git 目录，整锅端走了。

每一个程序员都清楚，.git 目录意味着什么。 那是这套代码从第一天写起到现在的完整底片。 里面记录了每一次代码修改、每一个分支名称、每一次提交人员的邮箱。 更要命的是，代码库的历史版本里，常常埋着以前不小心提交过、后来又在代码里删掉的数据库口令、接口密钥和内网服务器地址。 在日常开发中，你在最新文件里删了密码，但在版本控制的历史长河里，它一直都在。 只要把整个 .git 目录拿走，整个项目的陈年秘密就被翻了个底朝天。

更绝的是它的加密方案。 ZCode 把这堆工作区数据打包后，在本地用 AES-256 算法加密。 加密用的对称密钥，又被服务器下发的一串 RSA 公钥锁死。 在密码学里，非对称加密很常见。 公钥负责锁门，私钥负责开门。 但在这款软件里，它变成了一个单向黑匣子。 解密的私钥只留在智谱自己的服务器上。 这意味着，你作为电脑的主人，就算抓包截获了数据流，看到的也只是一堆无法解开的乱码。 你不知道它把哪些私密文件装了箱。 文件被送到云端之后，你既看不到，也删不掉。 软件的设置面板里，没有留下任何关闭这项行为的开关。 甚至连它的隐私协议里，对这件事也只字未提。

智谱为什么要这么做？ 难道工程师真想在客户端留个后门偷代码吗？ 官方在道歉声明里，把问题推给了一个叫代码库索引的功能，叫 Repo Wiki。 这个解释，恰恰把今天人工智能军备竞赛的一处软肋抖落了出来。 现在的编程大模型，早就看不上只在光标后面补全半句代码了。 它们要当全栈架构师，要理解整个项目的所有架构，还要自动生成全套的项目文档。 但要想读懂成千上万个文件之间的复杂依赖，必须对代码进行深度的语义索引和图谱构建。 这种计算极其消耗硬件资源。 如果全在开发者的笔记本电脑上跑，风扇瞬间满转，电池急速掉电，甚至连打字都会卡顿。 于是产品团队选了一条省事的捷径： 把本地工作区直接打包，扔给云端算力集群去跑。 云端有的是成排的显卡可以挥霍，在云端算完，再把做好的索引推回来。 为了在功能展示时显得足够智能，开发者电脑上的本地安全防线，被悄悄开了一条排污暗道。

类似的操作，两个月前马斯克的 xAI 刚刚在旧金山表演过一次。 2026 年 7 月，安全人员曝光 xAI 的 Grok Build 命令行工具，背着用户在后台疯狂上传本地代码库。 有一个用户本地 12 个吉字节的仓库，被它静默打包了超过 5 个吉字节的数据，直接送进了谷歌云。 哪怕用户在系统设置里清清楚楚关掉了改善模型训练的按钮，后台依然照传不误。 不管是马斯克的创业公司，还是清华实验室走出来的独角兽，在整个项目上下文的贪婪胃口面前，踩中的是同一个陷阱。

等到舆论在各大技术论坛炸开锅，智谱迅速端出了一套标准的公关应对。 第一步，在社交平台公开道歉，承认系统存在安全问题。 第二步，发誓自证清白，声明上传的数据绝对没有用于模型训练。 可是，研发机密和系统密钥被送上了公有云，危险难道仅仅是进不进训练集吗？ 哪怕模型一个字都没学，只要数据离开了本地受控环境，泄漏的风险就已经发生。 第三步，引入权威机构。 智谱找来中国信息通信研究院和绿盟科技，对整改后的系统做外部评估，宣布云端存储桶已经彻底清空，实现了零数据留存。 第四步，宣布把 ZCode 彻底开源到 GitHub，声称要把代码交由开源社区全面监督。

这套应对听起来滴水不漏。 但最早发现问题的 Ferstar 去翻看 GitHub 上的开源仓库时，发现事情很有意思。 智谱确实把代码推上了 GitHub。 但项目过去的全部提交历史，被一次性强行抹平，只剩下一张白纸般的初始提交。 更关键的是，在打补丁之前负责把用户本地文件打包、加密并上传的那段核心代码，在开源仓库里已经被删得干干净净。 这就好比一个人被抓到夜里翻墙进了邻居家。 天亮之后，他连夜把翻墙的梯子烧毁，把昨晚的脚印铲平，然后热情地打开自家院子对街坊说： 看，我的院门现在全天敞开，欢迎大家随时来监督我的一举一动。

随着人工智能助手从输入框助手走向全自动代理，工具对上下文的渴望还会越来越大。 但代码资产的红线，从来不在于云端的大模型有多聪明。 如果每次为了省下端侧计算的一点成本，就顺手把用户的钥匙和账本打包交出去，那么开源代码洗得再干净，也换不回开发者留在本地的那份安全感。