AI-aracı ZCode gizli olarak Git geçmişini üçüncü taraf sunucularına iletirken yakalandı

GLM mimariğini kullanan ZCode kodlama aracının yerel kullanıcı verilerini dış sunuculara gizlice gönderdiği tespit edildi. Araştırmacılar, aracın Git depolarının tüm geçmişini ve LFS önbelleği içeriğini otomatik olarak Aliyun OSS bulut depolamaya yüklediğini keşfetti.

Sorun, ZCode arayüzündeki gizlilik ayarlarının yalnızca dizin oluşturma ve model eğitimi süreçlerini düzenlediğini ancak veri aktarımını engellemediğini gösteriyor. Sonuç olarak, gizli kaynak kodu, erişim anahtarları ve commit geçmişi, geliştiricinin açık izni olmadan üçüncü taraf sağlayıcının altyapısına aktarılıyor.

Teknik analiz, verilerin aracın çalışma dizininde başlatıldıktan hemen sonra arka planda aktarıldığını gösteriyor. LFS (Large File Storage) ile çalışma özelliğini dikkate alarak, aktarılan bilgilerin hacmi birkaç gigabayta ulaşabilir ve genellikle hata nedeniyle sürüm geçmişine düşen ikili dosyaları ve gizli bilgileri içerir.

Hacker News geliştirici topluluğu, bu davranışı kritik bir gizlilik açığı olarak sınıflandırdı. Benzer araçların kurumsal ortamlarda kullanılması, fikri mülkiyet sızıntılarını önlemek için güvenlik duvarı düzeyinde ağ trafiğinin zorunlu olarak kontrol edilmesini gerektirir.

Bu olay, yerel dosya sistemine erişim gerektiren kapalı kaynaklı AI aracılarını kullanma risklerini vurgulamaktadır. Geliştiricilere, veri işleme politikasını düzeltmek için bir yama yayınlanana kadar ZCode'a erişimi geçici olarak kısıtlamak veya tamamen kullanmaktan kaçınmak önerilir.