智谱 AI 编程工具 ZCode 被曝偷偷打包你的整个 Git 历史上传到阿里云

Inside ZCode: Silently uploading your Git history to the cloud

有用户发现，智谱的 AI 编程桌面软件 ZCode 在登录状态下，会悄悄把你整个工作区——包括完整的 .git 历史、LFS 缓存和 reflog——打包加密，然后上传到阿里云 OSS。更离谱的是，加密用的 RSA 公钥是服务器实时下发的，私钥只存在云端，你自己硬盘上那个几百 MB 的加密文件根本解不开。有人在 ~/.zcode 目录下找到一个 313...

推荐理由：一篇有实锤的安全逆向文章。作者在本地目录找到了打包好的加密文件，并确认加密密钥由服务端控制、本地无法解密，技术链路清晰。涉及智谱这样的主流 AI 实验室，且行为发生在登录状态下，对开发者信任冲击很大。我会先打个折，因为目前是单人逆向发现，还没有更多第三方复现或智谱的正式回应，但现有证据已经足够让用户警惕。