Знаю, вы все этого ждете что я скачаю исходный Zcode и что-то там раскопаю?

Спойлер: ничего такого супер интересного, но кое-что все же есть:

1. Выкачку вырезали, но следы остались. В списке известных маршрутов телеметрии до сих пор числятся слова snapshot и upload-credential — кусочки ровно того адреса из скандала. Функционально это мёртвые строки, они ничего не делают, а надо бы их удалить — и заодно задокументировать, какие маршруты вообще существуют и зачем.
2. Телеметрия, которую нельзя выключить - В коде есть флаг ZCODE_TELEMETRY_ENABLED. Значение true захардкожено. Вы не можете отказаться от сбора данных. Вообще никак. Если Z.ai завтра впишет адрес, с точки зрения вашей установки ничего не изменится.
3. device_mid — номер, который нельзя сбросить. Сам по себе номер анонимный. Но один и тот же номер во всём означает простую вещь: залогинился один раз — и вся твоя активность во всех сервисах навсегда связана воедино. Сменить аккаунт — номер остаётся (привет Сноудену).
4. Промпты летят не туда, куда настроили - код молча переписывает bigmodel.cn / api.z.ai на свой шлюз zcode.z.ai (который нигде не задокументирован). Если этот хост завтра затормозят или он ляжет — никто не свяжет это с секретным хостом, о котором никто не знал.
5. «Шифрование» по вашему железу - пароли и токены ZCode складывает в файл и шифрует AES-256-GCM — сам алгоритм честный. Но ключ шифрования выводится из платформы, домашней папки и имени пользователя. Из вещей, которые не секрет.
6. Внутри есть мини-сервер для удалённого доступа. Если не задать переменную с токеном, он работает вообще без аутентификации: любой в сети получает доступ к терминалу, файлам и git. И главное, если хост не настроен, сервер слушает все сетевые интерфейсы (то есть весь твой Wi-Fi), а в лог при старте пишет «localhost» — независимо от того, на каком адресе он реально сидит. А в логе будет «localhost» вне зависимости от интерфейса, где запустили.
7. Самое интересное — remote control — в код не попала. Сопряжение телефона (QR, коды пейринга), сам relay-сервер, через который идёт трафик, — всё это живёт в облаке Z.ai. В дереве остался только self-hosted сервер из предыдущего пункта и клиентская механика. Открытый код не покрывает самую чувствительную часть — ту, которая по определению смотрит в интернет и через которую идут твои сессии. Доверять её безопасности приходится на слово той же компании, которая неделю назад втихую заливала чужой код на китайский git.
8. В ZCode есть два способа настроить «выполняй такую-то команду автоматически». Первый — хук в папке проекта. Тут всё сделано правильно: ZCode показывает тебе отпечаток команды и ждёт явного «да» — перед исполнением, каждый раз, с возможностью отозвать. Настоящая защита, хорошо построенная. Второй способ — хук внутри плагина из магазина. Согласие тут спрашивается один раз — в момент установки — и действует навсегда: дальше команда выполняется сама при каждом событии сессии, и никакой перепроверки перед исполнением нет. Итого цепочка: модный магазин → невинный с виду плагин → на следующей сессии на твоей машине выполняется чужой код. А если аккаунт магазина скомпрометируют — «обновление» выполнится у всех разом, и их снова никто не спросит. Забавное: обе двери реализованы в одном файле, рядом. Охрана написана — и не подключена к плагинам.
9. Нашёл дыру — сообщить некуда. У репозитория нет файла SECURITY.md («нашёл уязвимость — пиши сюда»), а раздел Issues выключен. Я проверил 30 самых звёздных репозиториев организации Z.ai: ZCode — единственный с выключенными ишью (т.е. это осознанное решение, вот интересно почему так?).

Итого в сухом остатке:

Не всё плохо, и сказать это важно. Кое-где этот код лучше среднего. Но, вот есть тревожные звоночки, которые я перечислил выше. Я не удивлюсь если однажды через этот Zcode в ваш компьютер проберется какое-нибудь Carrion. Так что держать это приложение постоянно включенным я не рекомендую, как минимум до тех пора, пока они не откроют ишью.

https://www.reddit.com/r/ZaiGLM/comments/1wmdp64/i_read_zcodes_opensource_code_after_the_gitupload/ - можно поднять мой пост вверх.