Техническое исправление и удаление данных
29 сентября Zhipu AI объявило о завершении технического исправления в своём инструменте для разработчиков ZCode. Все облачные данные, вовлечённые в инцидент, были удалены, что подтвердили две независимые организации: Китайская академия информационных и коммуникационных технологий (China Academy of Information and Communications Technology) и NSFOCUS. Компания также представила план компенсации для пользователей, включая бесплатные кредиты Token.
Как начался скандал
18 сентября разработчик под ником ferstar обнаружил в локальной директории ZCode зашифрованный файл размером 313 МБ. Анализ показал, что файл содержал полный бэкап рабочего пространства пользователя, включая:
- Исходный код проектов
- Историю Git
- Кэши LFS-файлов
- Глобальные конфигурации разработки
Проблема усугублялась тем, что в ранних версиях функция загрузки данных была включена по умолчанию, а в клиенте не было явной опции для её отключения. Даже после деактивации настроек приватности фоновые процессы продолжали попытки загрузить данные.
Реакция компании
В течение 72 часов после инцидента Zhipu внесла серию изменений:
Хронология исправлений
- 18 сентября: Официальные извинения и признание, что механизм загрузки не был должным образом раскрыт пользователям
- 19 сентября: Выпуск версии 3.14.0 с удалением Repo Wiki и путей для генерации/загрузки снимков репозиториев
- 21 сентября: Публикация исходного кода ZCode и результатов первой проверки безопасности третьей стороной. Компания заявила, что затронутые данные не сохранялись и никогда не использовались для обучения моделей.
В последнем заявлении Zhipu подтвердила удаление всех данных из затронутого бакета Alibaba Cloud OSS, включая сам бакет.
Новые принципы работы и компенсация
ZCode переходит на принцип "никакой загрузки без явного действия пользователя". Теперь код, файлы проектов и другие данные разработки остаются на локальных устройствах и не загружаются автоматически в облако.
Открытая версия ZCode обновлена до 3.14.3 и доступна на GitHub под лицензией Apache-2.0.
Детали компенсации
- Платные пользователи получат 4 карты сброса недельного лимита и 4 карты сброса 5-часового лимита (действительны 1 месяц)
- С 28 сентября по 7 октября все пользователи получат 100 000 бесплатных пакетов Token (по 100 миллионов токенов в каждом)
Последствия для индустрии
Инцидент поднял важные вопросы о балансе между:
- Возможностями ИИ
- Продуктивностью разработчиков
- Безопасностью кода
Эксперты отмечают, что провайдеры ИИ-инструментов должны чётко различать данные, загруженные по запросу пользователя, и автоматически передаваемые фоновые данные. Механизмы сбора данных должны быть прозрачными, а пользователи — иметь понятный и проверяемый контроль над их загрузкой.
Источник: technode.com
