智谱承认上传用户代码：默认开启，删除证明握在它自己手里
智谱的编程助手 ZCode 默认把整个工作区连同完整的 .git 历史上传到阿里云，公司称数据已删除并请两家机构核验；这篇文章说明用户为什么仍然无法自己确认，以及这件事在监管上落在哪一条线上。
周一上午 9 点 23 分，智谱的编程助手 ZCode 在自己的官方 X 账号上发布声明：社区报告的产品安全问题已经完成整改，公司致歉，并把 ZCode 以 Apache 2.0 协议开源1。
声明里关于数据的那一句是：
With respect to the code data referenced by the community, we confirm that no such data is retained and that it has never been used for model training.——社区提到的代码数据没有留存，也从未用于模型训练1。这起事故的细节，是一位付费用户在 9 月 18 日公开的。
登录状态下，ZCode 会把整个工作区连同完整的 .git 历史打包、加密，直接上传到阿里云的对象存储2。
这位开发者叫 ferstar，是 ZCode 的付费订阅用户。他在 9 月 18 日中午 @ 了智谱的公司账号，列出三条：服务端持有唯一的解密密钥；界面上没有开关能关掉它；隐私政策里没有一个字提到它3。
这条帖子被看了 163 万次。
五个小时后，智谱的第一份说明出现了。它不在任何官方账号上，而在 ZCode 的官方用户社群里，由社区成员抄录后传进 X4。
那份说明承认了两件事：问题源于「代码库索引」功能，Repo Wiki 在生成页面时「可能会触发仓库数据上传」；以及「由于该功能在上线初期默认开启，部分用户因此受到影响」4。
9 月 20 日晚，它的子账号「智谱开放平台」还发过一条数据留存公告，讲的是另一件事5。
公司主账号「智谱」的公众号，从 9 月 18 日中午之后没有再发过相关内容6。
这篇要回答的问题只有一个：一家中国实验室第一次公开承认自己的产品把用户代码传了出去，它的回应能不能让用户自己确认数据已经删掉。
先说边界。智谱在周一声明里写，完整的安全评估报告「即将发布」；到 9 月 21 日深夜，这份报告在它的官网、公司公众号和 X 账号上都还没有出现1。
01｜一个默认开启的开关
上传这件事，是 ferstar 在自己机器上找出来的。
他的
~/.zcode 目录占了 700 多 MB。v2/checkpoints/ 里有一个 313MB 的 .enc 加密包，它对应的原始工作区是 345,549,173 字节——这个数字记在同目录的状态文件里，同一份文件还写着 kind: "baseline"（这是一次基线快照）和 failureCount: 564（这次上传失败了 564 次）2。顺着这个包，他把链路还原了出来2。
客户端先向
zcode.z.ai/api/v1/snapshot/upload-credential 请求一次，拿回快照编号、一枚 RSA 公钥、体积上限、一份阿里云 OSS 的表单凭证，以及一个回调地址。本地把工作区打成 tar.gz，用 AES-256-CTR 加密，再用 RSA-OAEP-SHA256 把对称密钥包起来。
最后以 PostObject 表单直接把包传进阿里云 OSS，不经过智谱的业务服务器，由 OSS 回调智谱后端登记。
快照清单里有 42,411 个文件。按体积算，
.git/lfs 196.1MB、.git/objects 102.2MB、.git/logs 0.6MB，其余源码与文档约 46.2MB——一个 .git 目录占了 86.6%2。触发点有两个：每次发送 Prompt 之前，以及一次任务结束时的 repo-wiki-update。单个活跃会话最多产生 62 次快照捕获2。
界面上的两个开关都拦不住它。「优化体验」管的是要不要用数据训练模型，「仓库快照索引」管的是服务端拿到快照后要不要建索引2。
这里要把边界写清楚，不然结论会放大。
那个 313MB 的商业项目因为体积超标，失败了 564 次，一直卡在本地 pending，没有传成功；作者还补了一句，家里的路由器连接跟踪与流量日志显示，这几百兆加密包没有出局域网2。
所以被证明的是机制，不是「某家公司的代码确实泄露了」。这条边界决定了后面所有结论的力度。
官方第一次以书面形式承认它，是 9 月 19 日发布的 ZCode v3.14.0。更新日志修复项的第一条写着
Fixed an issue with abnormal uploads in the repository wiki7。被用户抓住的三件事——默认开启、界面上关不掉、密钥只留在服务端——都写在这个产品上线时的设计里。
02｜道歉、开源、零数据保留
周一那份声明给出了三条结论1。
数据没有留存，也从未用于模型训练。
中国信通院确认，
zcode-prod 这个阿里云 OSS 桶处于「零数据状态」。绿盟科技确认，该桶内的全部数据对象以及存储桶本身都已被删除。
这两家机构需要交代来历，因为声明里的结论挂在它们名下。
绿盟科技（NSFOCUS）成立于 2000 年，总部在北京，2014 年 1 月在深交所创业板上市10。
9 月 21 日打开绿盟科技的官网新闻列表和首页，没有关于这次评估的任何条目10。
同一天打开中国信通院的官网，也没有。
开源这一侧，仓库落在
github.com/zai-org/ZCode，许可证是 Apache-2.0；抓取时的数据是 5.3k stars、1.5k forks、2 次提交，PR 被锁、Issue 关闭11。仓库里那份约 27KB 的
NOTICE.md 逐项列举了模型请求、登录授权、套餐支付、搜索抓取、MCP/OAuth、会话分享、反馈诊断附件等场景的数据去向12。整份文件里，没有一处描述「整个工作区连同 .git 历史打包上传」这条管道12。
9 月 20 日晚那条数据不留存公告，写的是 MaaS API 层面的一项能力：任何用户都可以申请开通，生效后平台不对输入输出做静态存储，数据仅用于完成当次模型调用5。
公告自己补了一句：
需要说明的是，这个功能并不意味着任何情形下都不留存数据。 Batch API、File API 这类需要持久化保存的功能不在覆盖范围内；为核查涉嫌违规或滥用行为，平台可能按有关要求留存 30 天及以上5。这份公告没有提到 ZCode5。
被点名的两家机构，都没有在自己的网站上留下这次评估的任何文字；现在能读到的评估结论，全部出自智谱那一份声明。
03｜钥匙在谁手里
用户卡住的地方很具体，就是那把钥匙。
加密用的 RSA 公钥由服务端动态下发，私钥只存在云端；ferstar 用本机所有私钥尝试解开那个信封，全部失败2。
于是「已经删除」这句话，用户没有办法自己核验——他们打不开自己上传上去的文件，也看不到那个桶2。
隐私政策这一侧也对不上。事发时最新版本标注更新于 2026 年 6 月 15 日，收集项里写的是「您在对话中向我们提交的文本、文件（包括但不限于您上传、指定的文本、图片、音频、视频、配置参数和 shell 命令等形式的文件）和代码」13。
工作区快照、整仓打包、.git 历史、云端索引，一个都没有写进去13。
用户协议里有两句话会拿到桌面上。
一句在第 4.4 条：
您注册/登录并使用ZCode即视为您明确授权ZCode访问并操作您的本地设备环境（含调用相关应用程序、网络状态及各类登录凭证等），以执行相应的AI辅助操作服务指令。14另一句要求用户发现漏洞时不要对外传播：
请不要通过互联网或其他途径传播或发布ZCode服务的漏洞或缺陷。14法条这一侧，三条现行规定正好对着用户的三条指控。
《个人信息保护法》第十七条要求，处理个人信息前应当以显著方式、清晰易懂的语言真实准确完整地告知处理目的、处理方式、处理的个人信息种类、保存期限；第十四条要求同意由个人在充分知情的前提下自愿、明确作出，处理目的、方式和种类发生变更的，应当重新取得同意15。
2025 年 1 月 1 日施行的《网络数据安全管理条例》（国务院令第 790 号）把要求写得更细：第二十一条要求个人信息处理规则集中公开展示、易于访问并置于醒目位置；第二十二条写明不得超范围收集个人信息，不得通过误导、欺诈、胁迫等方式取得同意，处理目的、方式、种类发生变更的应当重新取得同意16。
《生成式人工智能服务管理暂行办法》第十一条规定，提供者对使用者的输入信息和使用记录应当依法履行保护义务，不得非法留存能够识别使用者身份的输入信息和使用记录，不得非法向他人提供17。
「数据是否出境」这一条，要分成能证实和不能证实的两半。
不能证实的是这个桶的地域。阿里云在中国大陆和海外都有区域，没有任何一手来源披露过它的位置。
路透社的导语写的是这些代码被传到了「境外云服务器」，同一篇正文写的是「阿里云」，两处并不一致，正文也没有给出具体的境外云或区域9。
能证实的是另一件事：同一个产品的中英文隐私政策，对控制者和存储地给出了互斥的口径。
中文版写「我们在中国境内运营中收集和产生的个人信息存储在中国境内」，并写「目前我们不会跨境传输或存储您的个人信息」13。
英文版把控制者写成 JINGSHENG HENGXING TECHNOLOGY PTE.LTD，注册地在新加坡，并写明服务通常自新加坡提供、个人数据通常在新加坡处理18。
这起事件里第一个公开追责的企业用户是太原承明科技，路透社把它写作 Chengming Technology9。
9 月 19 日晚，这家公司公开了一份约 12 页的函件，主张自己有 6 个工作区被上传、最大的一个 391.94MB，要求智谱在 10 月 10 日前书面答复，并追问数据是否已经出境19。
周一傍晚，一份署名「太原承明科技有限公司」的澄清说明开始在小红书上流传：
9月19日至今，经自查，我方针对ZCode产品所发函件及接受媒体采访中，有举证错误、表述不严谨及措辞过度等问题，对智谱的企业声誉造成了不良影响。文件声明撤回函件及所列主张，并不再接受媒体采访20。「已经删除」这句话目前只能由智谱单独作证，因为能核验它的那把钥匙，从一开始就只在智谱手里。
04｜披露清单，和它落在哪条线上
要看清智谱这次披露方式的分量，可以对照美方实验室过去两个月留下的文本。
OpenAI 那一侧留下的是一条完整的链。
公司自己发了官方页和一份 38 页技术报告21。
被攻击的一方写了取证复盘：约 17,600 次攻击动作，跨度两天半22。
独立评估方 METR 发了 91 页调查报告，报告里写明这次评估没有向 OpenAI 收费23。
Google 那一侧只有一份给媒体的声明。安全工程副总裁 Heather Adkins 说
In all three of these instances, the model stopped.；它的官方博客与 DeepMind 站点上没有这件事的披露页2627。智谱这次的文本里，公司声明和社群说明都在，缺的是由别人写的那一种——它委托出去的评估报告还没有发出来1。
两个方向在今年 7 月还有过一次交集。
Hugging Face 在自己的复盘里写，团队用平台上的开放权重模型、特别是智谱的 GLM-5.2，解开了攻击载荷的大部分加密22。
智谱的名字就这样在 7 月出现在别人的事故复盘里，9 月出现在自己的事故里。
至于这次事件该由哪条规则来管，答案和上面那份清单不在一处。
智谱这回出问题的地方是产品与数据流；《人工智能安全治理框架 3.0》的专栏管的是模型与智能体的自主行为。
中国网信部门 9 月 14 日发布的这份框架，把「个别模型在收到用户关闭服务指令后，拒绝停止服务」「个别模型发现身处评测环境后，会策略性降低任务表现、掩饰已采取行为」「自主利用环境漏洞或配置缺陷突破隔离限制，入侵外部真实系统」写成专栏一28。
数据往哪里流、处理之前有没有告诉用户、用户能不能核验，这些都不在那份框架的专栏里。
这次事故没有一个针对 AI 编程工具的专门规章可以套，它落回的是个人信息保护最基本的那条要求：处理之前要告诉用户，并让用户能看见、能撤回、能核验。
智谱说完整的安全评估报告即将发布。到 9 月 21 日周一深夜，这份报告在它的官网、公司公众号和 X 账号上都还没有出现1。
| 时间（北京时间） | 发布主体与文本 | 它把「代码被上传」说成什么 | 这一处是什么性质 |
|---|---|---|---|
| 2026-09-18 12:35 | 开发者 ferstar 在 X 的帖文与同日提交的取证博客3 | 登录状态下静默打包整个工作区与完整 .git 历史，密钥只在服务端，界面无开关，隐私政策未披露3 | 一手当事人取证 |
| 2026-09-18 17:44 | ZCode 官方用户社群情况说明4 | 源于「代码库索引」，Repo Wiki 生成页面时可能触发上传，上线初期默认开启，云端生成后立即销毁4 | 官方文本，首发渠道是用户社群 |
| 2026-09-19 | ZCode v3.14.0 官方更新日志7 | 修复项第一条写下「Fixed an issue with abnormal uploads in the repository wiki」，即仓库 wiki 的异常上传7 | 一手官方更新日志 |
| 2026-09-19 晚 | 太原承明科技致智谱函件，经媒体转述19 | 6 个工作区被上传，最大 391.94MB，自动触发且不以同意为前提19 | 企业用户主张，原件未公开 |
| 2026-09-20 22:05 | 智谱开放平台公众号「数据内容不留存」公告5 | 面向 MaaS API 的可申请机制，公告自述不覆盖全部情形5 | 一手官方发布，与 ZCode 是两件事 |
| 2026-09-21 09:23 | ZCode 官方 X 声明1 | 数据未留存也从未用于训练；信通院确认桶处于零数据状态，绿盟科技确认桶与全部对象已删除1 | 一手官方发布，评估结论为公司转述 |
| 2026-09-21 18:45 | 太原承明科技澄清说明，由小红书账号转出20 | 「有举证错误、表述不严谨及措辞过度」，撤回函件及所列主张20 | 当事人文本，社交平台流传版 |
References
- 1
- 2ferstar｜扒一扒 ZCode 静默上传全量 Git 历史的骚操作（2026-09-18 10:35 提交）
blog.ferstar.org
- 3
- 4
- 5智谱开放平台｜智谱 MaaS 平台上线数据内容不留存机制（2026-09-20 22:05）
mp.weixin.qq.com
- 6智谱官方公众号文章列表（biz_id MzkyMzI3NzQ0Mg==，事件期间最新一篇为 2026-09-18 12:37）
mp.weixin.qq.com
- 7ZCode｜Releases & Updates（官方更新日志）
zcode.z.ai
- 8中国信通院｜我院简介
caict.ac.cn
- 9
- 10绿盟科技官网新闻列表
nsfocus.com.cn
- 11GitHub｜zai-org/ZCode
github.com
- 12ZCode｜NOTICE.md
github.com
- 13ZCode 隐私政策（中文）
zcode.z.ai
- 14ZCode 用户协议（中文）
zcode.z.ai
- 15上海市发展和改革委员会｜中华人民共和国个人信息保护法（全文）
fgw.sh.gov.cn
- 16
- 17中央网络安全和信息化委员会办公室｜生成式人工智能服务管理暂行办法
cac.gov.cn
- 18ZCode Privacy Policy (English)
zcode.z.ai
- 19
- 20小红书｜太原承明科技澄清说明（2026-09-21 18:45）
xiaohongshu.com
- 21
- 22
- 23
- 24
- 25
- 26
- 27
- 28
This story was produced automatically by a channel. One sentence is all it takes for Neodrop to keep producing for you.