Z.aiは、ツールが同意なしにローカルファイルをアップロードしたことを受け、ZCodeをオープンソース化した。

GLMモデルファミリーを開発した中国企業Z.aiは、開発者のローカルプロジェクトファイルを許可なくAlibaba Cloudサーバーに密かに送信していた不具合を修正した後、同社のコーディングアシスタント「ZCode」をオープンソース化した。.

サウスチャイナ・モーニング・ポスト紙の報道によると、このdent 9月18日に発生した。Ferstarという名の中国のdent テクノロジーブロガーがZCodeの作業ディレクトリを調査中に問題を発見し、アリババのクラウドストレージへのアップロード準備中のファイルを発見したという。.

ブロガーは2つの暗号化されたファイルを発見した。1つは313メガバイトの圧縮アーカイブで、564回のアップロード失敗後も転送待ちの状態だった。もう1つは15キロバイトの小さなファイルで、すでに送信済みだった。.

Ferstar氏によると、より大きなアーカイブには、彼が開発していた商用プロジェクトのスナップショット（Gitの履歴を含む）が収められていたという。彼はサウスチャイナ・モーニング・ポスト紙に対し、そのファイルはZ.aiのバックエンドに保存されている秘密鍵で暗号化されていたため、彼自身もZCodeクライアントも開くことができなかったと語った。.

ZCodeがリポジトリ全体をアップロードするに至った経緯

問題となった「反逆的な」アップロードは、セッションチェックポイント、バージョンロールバック、および「リポジトリWiki」に使用されるリポジトリインデックス機能に関連していた。この機能は、ZCodeのリリース後にデフォルトで有効になっていた。.

クラウド内で新しいWikiページを作成すると、リポジトリ全体のアップロードがトリガーされる可能性があり、これは現在作業中のファイルだけでなく、それ以上の情報を漏洩させる恐れがあります。また、Gitの履歴によって、特定の古いdent情報やホスト名を容易にdentできるため、リポジトリ全体のスナップショットは非常に機密性の高い情報となります。.

サウスチャイナ・モーニング・ポスト紙が引用した上海在住の開発者は、この行為は本質的にユーザーから盗む行為だと述べ、悪意の可能性が最も懸念される点だと付け加えた。

Z.aiが変更したと述べていること

Z.aiは今回のdent について謝罪し、不正なアップロードはすでに停止したと主張している。同社はまた、クラウドに送信されたデータはすべて破棄され、モデルのトレーニングには一切使用されなかったと述べている。.

中国のAIメーカーは、製品のセキュリティ脆弱性を報告するための恒久的なプロセスを確立し、問題の深刻度に応じて報酬を支払う計画も発表した。また、開発者に対し、現在公開されているコードベースの監査を継続するよう呼びかけている。.

アップロードされたデータについては、依然として疑問が残っており、部外者はそのデータに何が起こったのかを正確に確認できていない。.

xAIのGrok Buildに関する同様のdent 7月にも発生しており、このコーディングツールがGitリポジトリ全体をアップロードしていることが判明した。イーロン・マスク氏はアップロードが行われたことを認め、その後xAIはデータを削除し、プライバシーエンドポイントとともにデータ保持ゼロポリシーを導入した。その後、独立したdent テストにより、アップロードは停止していることが確認された。.

Z.aiは、データ保持ポリシーの変更について文書による発表を一切行っておらず、いかなる形であれdent した再検証も許可していない。アップロードされたデータが削除されたという同社の主張は、外部の人間が検証するのは非常に困難であり、復号鍵も同社が管理している。.

開発者は、このツールを信頼するかどうかを決定しなければならない。

の影響はdent 広がり続けており、あるロボット企業は Z.aiのツールを 社内で禁止したと報じられている。開発者らはサウスチャイナ・モーニング・ポスト紙に対し、信頼の失墜は特定のバグそのものよりもはるかに深刻なダメージを与える可能性があると語っている。

このdent 、Z.aiの株価にも影響を与えた。Z.ai（2513.HK）の株価は月曜日の取引時間中に約6％下落したが、その後回復し、1.8％高で取引を終えた。本稿執筆時点でのZ.aiの株価は794香港ドルだった。.