☝🏻Корпорация Z отправляет файлы пользователей в Китай

Исследователь ferstar разобрал ZCode — официальное десктопное приложение Z ai, авторов ИИ моделей GLM — и обнаружил, что оно молча упаковывает всю рабочую директорию и отправляет её в Alibaba Cloud.👁

В тестовом коммерческом проекте архив весил 345 МБ и содержал 42 411 файлов. Исходников там — всего 13%.

☝🏻Остальные 86,6% — это .git: полная история коммитов, reflog, LFS-кеш, названия веток и все ключи, которые вы когда-то закоммитили и «удалили» следующим коммитом.🤯

За одну активную сессию автор насчитал до 62 событий захвата.

Перед отправкой архив шифруется AES-256-CTR, а ключ заворачивается RSA-OAEP на публичном ключе сервера.
Приватный ключ лежит только на бэкенде корпорации — расшифровать свой же архив не может ни пользователь, ни сам клиент🔐

Два тумблера в настройках, на которые вы бы понадеялись, не работают: «Optimize Experience» запрещает только обучение на данных, а «Repo Snapshot Indexing» — только индексацию на стороне сервера.
Упаковку и отправку ваших файлов в Китай не выключает ни один.

«Пока вы залогинены, этот фоновый конвейер работает постоянно, и ни одна настройка в интерфейсе его не отключит».


☝🏻☝🏻В корпорации Z ответили, что это функция индексации для Repo Wiki, а данные после обработки якобы удаляются.🤷🏼‍♀️
================
👁 News | 👁 Soft | 👁 Hacker