Zhipu retira de ZCode las rutas que subían repositorios a la nube

Zhipu ha cerrado la revisión de seguridad de ZCode, su herramienta de programación asistida por IA, después de que varios usuarios advirtieran de que el programa podía subir datos del proyecto a un servidor en la nube sin un consentimiento claro. La versión 3.14.0 elimina la función RepoWiki y las rutas que generaban y enviaban instantáneas del repositorio local, de modo que esos datos salen del flujo de la herramienta. El código fuente está ya en GitHub bajo licencia Apache-2.0.

Lo que dicen las comprobaciones

Según el relato de la compañía, las verificaciones de la Academia China de Tecnologías de la Información y las Comunicaciones (CAICT) no encontraron datos en el bucket de Alibaba Cloud OSS correspondiente, y NSFOCUS confirmó que ese bucket y los objetos que almacenaba ya se habían borrado. Zhipu sostiene además que esos datos no se emplearon para entrenar modelos. Es la versión de la empresa: ni los informes completos de auditoría ni el estado de los accesos históricos o del descifrado han salido a la luz. La información la recogió el medio estatal CNR en chino.

Un asistente que indexa el repositorio local para dar mejores sugerencias necesita leer el código, y ahí dentro hay bastante más que funciones: claves embebidas, cadenas de conexión, configuraciones internas. Que la herramienta tenga permiso para leerlas en tu máquina es una cosa; que las copie a un servidor ajeno sin decirlo es otra, y es exactamente lo que disparó las quejas.

Retirar las rutas de subida arregla el presente, no responde a la pregunta que importa: qué se copió antes de la 3.14.0 y quién pudo leerlo. Liberar el código bajo Apache-2.0 permite auditar lo que hace la versión nueva, pero no reconstruye el historial de un bucket que ya no existe y cuyos informes siguen sin publicarse. Para quien mete código propietario en asistentes de este tipo, la decisión práctica sigue siendo la misma: revisar qué sale del perímetro y con qué permiso lo hace.