Итак, старый механизм, который делал снимок репозитория и пытался отправлять его в Alibaba OSS, из новых версий действительно убрали.
Главная критика вышедшего опенсорца:
• Без нормальной истории Git
• Без возможности создавать Issues и PR прямо в основном репозитории. То есть код смотреть можно, нормально обсуждать и предлагать исправления — нет. Поэтому проверить, когда именно появился uploader, кто его добавил и что еще изменили при «очистке», по опубликованной истории невозможно.
• Однако Zhipu одновременно ведет отдельный официальный zai-org/feedback, где Issues открыты и подобных критических тикетов много. Поэтому «они вообще заткнули пользователей» — уже оценочное преувеличение.
25 сентября: «новая версия продолжает загружать репозитории» — сейчас скорее неподтвержденное обвинение. Исходный повод — пользователь @xueyu1125, сославшийся на присланный другом скриншот и заявивший о ~40 ГБ трафика после 3.14. ZCode ответил нескольким пользователям, что IP на скриншоте не является endpoint ZCode, и повторил, что цепочка удалена начиная с v3.14.0. Zamantika Независимо от Zhipu, ferstar 23 сентября проверил v3.14.3: в распакованном клиенте upload-логики не нашел и при динамическом наблюдении новых .enc/полного сканирования репозитория не увидел. Поэтому писать сейчас «обнаружили, что ZCode продолжает загружать репозитории» как установленный факт нельзя.
— Зато независимые исследователи нашли другие спорные вещи: слабоватое локальное хранение credentials (я уже писал об этом). `yolo`-режим по умолчанию для headless CLI, отсутствие полноценного OS sandbox, remote config и не полностью открытые компоненты.
— Самое важное: опубликованный код не доказывает, что официальный бинарник собран именно из него. Reproducible build нет.
Итого: после open source история не стала выглядеть как «ZCode все еще тайно ворует репы». Но и прозрачным security-аудитом это пока назвать сложно. Полный отчет CAICT/NSFOCUS Zhipu обещала опубликовать, но его пока нет.
Так что запасаемся попкорном и желаем удачи ребятам которые еще используют Zcode.