# ZCode 编程助手会悄悄上传你的整个 Git 历史，解密密钥只在 Z.ai 手里

> 原标题：ZCode, the GLM coding agent, silently uploads your Git history

- 来源：Hacker News 首页
- 发布时间：2026-09-18T10:35:28.000Z
- AX AI 日报：https://ai-daily.ax0x.ai/items/57340
- 原文：https://tokenstead.ai/guides/zcode-silent-git-history-upload

## 摘要

开发者 ferstar 逆向分析了 Z.ai 的桌面编程助手 ZCode，发现只要登录，它就会把整个工作区——包括完整的 .git 历史、LFS 缓存、reflog 和全局配置——打包加密，然后传到阿里云 OSS。一个 345MB 的商业项目被压成了 313MB 的加密包，其中 .git 目录占了 86.6%。更关键的是加密方式：它用信封加密，对称密钥...

## 推荐理由

这是一次有实锤证据的安全披露，不是猜测。逆向分析把上传内容、加密方式和密钥归属都讲清楚了，对用 AI 编程助手的人来说是直接的风险警报。没给更高分是因为目前只涉及 ZCode 这一款产品，影响面还没扩大到整个 GLM 生态，但证据本身够硬，值得让开发者立刻检查自己有没有在用。