В предыдущих частях
https://t.me/tech_b0lt_Genona/6986
https://t.me/tech_b0lt_Genona/6736
ZCode от Z.ai шифрует и грузит весь git‑репозиторий в облако Alibaba
https://habr.com/ru/news/1083926/
Разработчик ferstar опубликовал результаты реверс‑инжиниринга ZCode, официального десктопного приложения Z.ai (разработчик моделей GLM). Пока пользователь залогинен, ZCode в фоне упаковывает всю рабочую директорию: полную историю.git, кэш LFS, reflog и глобальные конфиги приложения.
Архив шифруется и отправляется в Aliyun OSS, объектное хранилище Alibaba Cloud. У себя на диске ferstar нашёл зависший в очереди на отправку 313-мегабайтный зашифрованный архив, собранный из 345 МБ коммерческого проекта (42 411 файлов), со счётчиком в 564 неудачные попытки загрузки.
Расшифровать архив не может ни пользователь, ни сам клиент ZCode. Содержимое шифруется локально алгоритмом AES-256-CTR, а симметричный ключ дополнительно оборачивается RSA‑OAEP с публичным ключом, который сервер выдаёт при каждой загрузке. Приватная половина ключа существует только в облаке Z.ai.
...
Просто удалить зависший архив не получится: клиент пересобирает новый 313-мегабайтный снапшот в течение получаса, а счётчик попыток растёт дальше. Рабочий способ остановить выгрузку, который нашёл ferstar, работает на уровне файловой системы: сделать папку с чекпоинтами неизменяемой командой chflags uchg на macOS или chattr +i на Linux.
Исследователь проверил все приватные ключи на своей машине: ни один не подошёл.
...
Z.ai извинилась перед затронутыми пользователями и назвала причиной функцию индексации кодовой базы: индекс собирается локально и нужен для чекпоинтов сессии, отката к прошлым версиям и Repo Wiki, а выгрузку данных репозитория запускала именно генерация страниц Wiki.
> По версии компании, загруженные данные уничтожаются сразу после сборки страницы в облаке и не сохраняются.
Верю максимально.
Оригинал
Inside ZCode: Silently Uploading Your Entire Git History to the Cloud
https://blog.ferstar.org/en/posts/zcode-silent-workspace-snapshot-upload/
За наводку спасибо @DOFH_ru