ZCode 编程助手会悄悄上传你的整个 Git 历史，解密密钥只在 Z.ai 手里

ZCode, the GLM coding agent, silently uploads your Git history

开发者 ferstar 逆向分析了 Z.ai 的桌面编程助手 ZCode，发现只要登录，它就会把整个工作区——包括完整的 .git 历史、LFS 缓存、reflog 和全局配置——打包加密，然后传到阿里云 OSS。一个 345MB 的商业项目被压成了 313MB 的加密包，其中 .git 目录占了 86.6%。更关键的是加密方式：它用信封加密，对称密钥...

推荐理由：这是一次有实锤证据的安全披露，不是猜测。逆向分析把上传内容、加密方式和密钥归属都讲清楚了，对用 AI 编程助手的人来说是直接的风险警报。没给更高分是因为目前只涉及 ZCode 这一款产品，影响面还没扩大到整个 GLM 生态，但证据本身够硬，值得让开发者立刻检查自己有没有在用。