Lo strumento ZCode carica in modo nascosto la cronologia Git nel cloud

I sviluppatori hanno scoperto che ZCode esegue una trasmissione di dati nascosta dalla directory di lavoro dell'utente a server esterni. Durante il processo di lavoro lo strumento invia automaticamente il contenuto di tutto il progetto, inclusa la storia completa di .git e la cache di LFS, all'archiviazione cloud Aliyun OSS.

La trasmissione dei dati avviene senza un avviso esplicito all'utente. Per la crittografia dei file vengono utilizzate chiavi fornite dal server, il che rende l'accesso locale ai dati impossibile dopo il completamento del processo. L'analisi della comunità conferma che lo strumento priva di fatto lo sviluppatore del controllo sul codice sorgente e sulla storia delle versioni, trasferendoli in un circuito chiuso di un fornitore di servizi cloud esterno.

L'utilizzo di meccanismi simili negli strumenti di sviluppo crea rischi critici per la sicurezza della proprietà intellettuale. La trasmissione della storia dei commit può portare alla perdita di dati sensibili, inclusi chiavi di accesso, token e logica interna delle applicazioni, che spesso rimangono nella storia del repository anche dopo la loro rimozione dalla versione corrente dei file.

Questo incidente sottolinea la necessità di un'attenta verifica dei diritti di accesso e dell'attività di rete degli strumenti AI integrati nell'ambiente di sviluppo. Gli esperti raccomandano di isolare tali utility in contenitori con accesso limitato alla rete o di utilizzare strumenti con codice sorgente aperto che abbiano superato un audit di sicurezza.