21世纪经济报道记者 陈归辞

9月18日，有开发者发现，智谱AI编程工具ZCode在用户不知情的情况下，将其全量Git历史静默上传至阿里云OSS，事件在开发者社区引发一片哗然。智谱当日在官方ZCode用户群中致歉，但风波并未平息。

9月20日晚间，智谱又紧急在“智谱开放平台”微信公众号上宣布，其MaaS平台将于近期上线数据内容不留存功能。

智谱称，该机制旨在减少模型调用内容在平台侧的持久化留存。任何用户均可以申请开通，生效后，智谱MaaS平台不会对用户的输入和输出进行静态存储，数据仅用于完成当次模型调用。

智谱同时强调，该功能并不意味着任何情形下都不留存数据。Batch API、File API等需要在平台侧持久化保存任务或文件的功能不在上述覆盖范围内；此外，在法律法规要求留存，或为核查涉嫌违规或滥用行为的情况下，平台可能按有关要求留存相关数据30天及以上。

这场风波始于个人开发者ferstar在9月18日凌晨的一篇帖子。其发现ZCode将一个10GB的项目打包加密成313MB的压缩包，其中“几乎全是核心资产”。状态显示，该压缩包曾被尝试上传但失败564次，因此留在了本地。

经过逆向分析，ferstar发现，只要用户处于登录状态，ZCode桌面端就会在后台静默把整个工作区加密打包，包括完整的.git历史、LFS大文件缓存、reflog以及全局应用配置，并将其直接上传到阿里云OSS。

“更讽刺的是：加密用的RSA公钥是服务端动态下发的，私钥只存在云端。你本地生成的那份几百兆的密文，连你自己和客户端本体都解不开。”ferstar称。

两个月前，xAI编程工具Grok Build被发现将用户整个Git仓库打包上传至谷歌云存储，引发开发者社区激烈反应后。类似事件如今又发生在智谱编程工具ZCode身上，有分析人士认为，其或意在拿用户数据训练自家模型。这再度引发用户对于数据隐私与安全的担忧。

当天，智谱在官方ZCode用户群致歉，承认“Repo Wiki功能在生成Wiki页面时可能会触发仓库数据上传”，但上传的数据会在Wiki页面于云端生成后立即销毁。智谱称，相关问题已经修复，并提出相应弥补方案，包括开源ZCode代码库、请第三方审查、为全体ZCode用户提供一次周额度重置。

然而，道歉未换来相关争议的平息。许多用户对未经用户同意上传用户数据的行为表达质疑与谴责，也有用户认为其道歉内容避重就轻，“用户想看到的，是真正对数据的把关、对隐私的保护”。据记者了解，目前已有公司在内部停用ZCode。

直到宣布上线数据不留存机制，开发者社区认为智谱依然没有回答的问题是，上传的数据是否曾用于模型训练？此前云端究竟留存了什么？已上传至云端的历史数据是否已被彻底清除？

9月21日早间，智谱开源了ZCode，并称完成整改后，中国信息通信研究院和绿盟科技已完成安全审计，确认 zcode-prod (阿里云对象存储OSS) 内全部数据对象及存储桶本身已删除。ZCode v3.14.0 客户端已完成整改，Repo Wiki 入口及相应生成链路已移除，未发现可触发本地仓库快照或文件外发的功能路径。智谱还承诺代码数据无留存，也从未将其用于模型训练。