ZCode aracı Git geçmişini gizlice buluta yükler

Geliştiriciler, ZCodeın kullanıcıların çalışma dizinlerinden dış sunuculara gizli veri iletimi gerçekleştirdiğini keşfettiler. Araç, çalışırken otomatik olarak tüm proje içeriğini, tam .git geçmişini ve LFS önbelleğini Aliyun OSS bulut depolama alanına gönderir.

Veri iletimi, kullanıcıya açık bir bildirim yapılmadan gerçekleşir. Dosyaları şifrelemek için sunucu tarafından sağlanan anahtarlar kullanılır, bu da işlemin tamamlanmasından sonra yerel olarak verilere erişimi imkansız hale getirir. Topluluk analizi, aracın aslında geliştiricinin kaynak koduna ve sürüm geçmişine erişimini engellediğini ve bunları üçüncü taraf bir bulut sağlayıcının kapalı ortamına taşıdığını doğrular.

Geliştirme araçlarında bu tür mekanizmaların kullanılması, fikri mülkiyet güvenliği için kritik riskler oluşturur. Commit geçmişinin iletilmesi, erişim anahtarları, jetonlar ve uygulamaların iç mantığını içeren hassas verilerin sızmasına neden olabilir ve bunlar genellikle dosyaların geçerli sürümünden kaldırıldıktan sonra bile depo geçmişinde kalabilir.

Bu olay, geliştirme ortamına entegre edilen AI araçlarının erişim izinlerinin ve ağ etkinliğinin dikkatli bir şekilde incelenmesi ihtiyacını vurgular. Uzmanlar, bu tür araçları sınırlı ağ erişimine sahip konteynırlarda izole etmeyi veya güvenlik denetiminden geçmiş açık kaynaklı araçları kullanmayı önerir.