智谱 ZCode 静默上传 Git 历史这件事这两天在开发者社群里炸得厉害。我最初是在一个技术闲聊群里看到有人贴出抓包截图紧接着“zcode偷传代码风波”“ZCode 打包用户代码上传到阿里 OSS”这类关键词就刷屏了。作为一个从 ZCode 内测期就开始用、也写过不少配置教程的人我想把这轮 48 小时信任危机完整复盘一遍它到底动了什么、为什么动静这么大、普通开发者接下来到底该怎么办。先说结论这件事最让人后背发凉的地方不是代码本身被传上去而是很多人的 Git 历史里躺着比代码更值钱的东西——密钥、内网地址、被删掉但还能恢复的旧逻辑、甚至带邮箱的历史提交记录。一旦这些被打包上传造成的风险不是“改个密码就能解决”的。如果你也装了 ZCode、个人版 Claude 插件、或者任何要读取 Git 上下文的 AI 编程工具这篇复盘和后面的自查手册值得你花十分钟看完。1. 48 小时事件全回顾从一张抓包截图开始1.1 风波起点一次本不该看到的网络请求这轮风波的起点并不复杂。有用户在调试网络代理日志时发现 ZCode 启动后会向某个国内云厂商的对象存储地址发起上传请求而且请求体里携带了与当前项目相关的文件信息包括.git目录下的提交数据。消息一出来不少人立刻去翻自己的代理日志结果出现了更多类似的记录。“静默上传”这个词就从这个细节里长出来的——没有弹窗提示、没有在界面上明确展示上传目标甚至连关闭按钮都藏在三级菜单里。我特意去看了一圈当时的讨论帖和时间线。在最初的 12 小时里社区主要在做两件事确认行为是否存在、确认影响范围。有人贴出抓包结果有人分析请求头里的 Token 和存储桶名称有人翻出 ZCode 安装目录里的配置文件找线索。这个阶段最大的问题是信息断裂官方还没有明确回应而用户手里的证据又多是零散的抓包片段于是“偷代码”的说法迅速占了上风。到了 12 到 24 小时之间讨论焦点从“有没有上传”转向“到底传了什么、传给了谁”。当时有一个非常关键的细节上传请求的目的地并不是智谱的模型推理服务地址而是一个对象存储桶。这就让很多开发者感到不安因为模型推理需要上传代码片段是可以理解的但把代码打包送进对象存储性质就完全不同了。不过也得公平地说一句很多 AI 编程工具的日志服务、崩溃收集、遥测上报也会用对象存储关键是这些行为有没有提前告诉用户。1.2 ZCode 是什么为什么它能碰你的代码先给没上过车的读者补个背景。ZCode 是智谱旗下面向开发者的 AI 编程助手形态上跟 GitHub Copilot、通义灵码这类产品类似能做代码补全、对话式编程、根据仓库上下文回答问题。它提供 IDE 插件、命令行工具和网页端底层模型是 GLM 系列同时也支持用户自己在配置里填第三方模型的 API Key。这里有个基础认知要建立只要是这类“仓库级”AI 编程工具它大概率会读取你打开了哪些文件、当前文件内容、选中区域、甚至整个仓库的代码索引。否则它就没办法回答你“这个项目里有哪些地方调用了某个函数”“帮我改完这个模块后哪里会报错”这类问题。所以“读取仓库文件”本身不一定算作恶真正的红线是没有清晰告知、没有关闭选项、把数据送到你不可控的地方。ZCode 之所以引发这么大的反弹恰恰是因为它踩了这条红线。不管它内部是出于什么目的——收集崩溃现场、做产品分析、还是真的拿代码去训练模型——用户看到的都是一个事实我的 Git 历史在没有明确授权的情况下被自动打包送出了本地机器。信任这个东西很脆弱尤其是在开发者社区里一旦被称为“偷代码”后面解释的成本会非常高。1.3 事件为什么能在 48 小时内持续发酵这轮风波的传播速度非常快我复盘下来有三个放大器。第一个是“Git 历史”这个词足够敏感开发者的直觉反应就是提交记录里有我的邮箱、有提交说明、有被我删掉的敏感文件一下子全暴露了。第二个是“对象存储”这个技术细节提供了实锤感普通用户可能分不清模型推理和日志上报的区别但“传到一个存储桶里”听上去就是要存起来慢慢用舆论上很难翻盘。第三个放大器是大量“ZCode 使用教程”类内容的出现。事件曝出后的一两天里社交平台上出现了很多配套教程讲怎么安装 Git、怎么配置 ZCode、怎么关闭自动上传、怎么用git commit --amend修改提交信息。这种内容一方面说明确实有大量开发者刚接触这个工具另一方面也放大了恐慌情绪——连“改提交记录”都被搬出来当急救措施了大家自然会觉得事情很严重。注意我这里复盘的是社区可观测到的行为并不是替官方下结论。但有一件事是可以确定的——如果你发现自己没有在任何弹窗里见过“上传 Git 历史”的授权请求那这个行为对你来说就是“静默”的。2. 为什么“Git 历史”比你的源代码更危险2.1 Git 历史里到底藏着什么敏感信息很多开发者对 Git 的理解停留在“版本管理工具”这一层觉得历史记录就是提交说明和代码差异。但实际上去翻一个项目的.git目录你会发现它是全项目信息密度最高的地方。我拆几个最常见的类型硬编码的密钥和 Token。哪怕你在当前分支已经把它们删掉了只要某次提交里出现过它就永远留在历史中。很多扫描工具专门扫.git目录就是为了找这种“幽灵密钥”。提交人的邮箱和用户名。这直接关联到个人身份甚至能拼出团队的组织架构和成员的活跃时间段。内网 IP、数据库连接串、测试环境域名。这些信息在代码里往往只在某个版本短暂出现但一旦进入历史就是给攻击者送的“内网情报”。已经被删除的业务逻辑和漏洞代码。历史代码能泄露当时的实现思路、绕过逻辑、甚至还在用的隐藏接口。所以当“ZCode 上传 Git 历史”这个行为被曝光时开发者不是在一惊一乍而是真的看到了一个高价值数据包被悄悄送走的过程。源代码也许只是你个人劳动成果而 Git 历史是整个项目生命周期的完整底稿里面有太多你当前代码库里已经看不到的东西。2.2 静默上传的判定标准哪些行为算“偷”在讨论区里有个高频问题是“它读了我的代码但读代码不等于偷吧”我的判断标准很简单三条同时满足才算正常第一用户在安装或首次启动时被明确告知第二上传行为有开关可以彻底关闭第三数据用途和存储位置有公开文档可查。这三条里只要有一条不满足就存在“静默”的嫌疑。拿 ZCode 这个案例来看至少从社区反馈的证据看上传行为既没有醒目提示也很难在界面里一键关闭存储位置还是一个对象存储桶。无论它最终有没有拿代码去训练模型“未经明确同意就把历史数据打包装走”这件事本身就破坏了工具和用户之间的契约。后面再有合理的遥测需求用户也很难再信了。2.3 工具读取 Git 历史的合规与不合规边界不是说所有 AI 编程工具都不能读 Git 历史。一个负责任的工具至少应该做到三点本地处理优先能不上传就不上传必须上传时做脱敏去掉邮箱、IP、可疑密钥上传行为要可审计用户能在日志里看到POST到了哪个域名。这些都是可以验证的边界。反过来凡是“本地已经算完摘要却还要把原始文件内容送出去”“上传地址不是推理服务而是通用存储桶”“在配置里藏着遥测开关默认开启”的行为都不要怪用户多想。AI 编程工具本质上是一个安装在你开发环境里的“内部人员”它能看到你的劳动成果一旦它不够透明你对这个工具的信任就归零了。3. 自查手册如何确认你的 AI 编程助手没有乱传数据3.1 从网络层面抓现行本地代理与抓包实操这轮事件之后我给自己定了一条规矩凡是装了新的 AI 编程工具第一件事不是看功能而是看流量。操作分三步走你也可以直接照做。第一步在测试环境里开代理抓包。Windows 上我习惯用 FiddlermacOS 上可以用 Charles 或 mitmproxyLinux 下直接用 mitmproxy 的命令行。启动代理后把系统代理指过去手机上或者系统层面装上代理的 CA 证书否则只能看到CONNECT请求头的域名看不到完整请求体。第二步用一个专门准备的测试仓库来触发工具行为。注意不要去翻自己的工作仓库避免敏感信息真的被传到外部。我一般建一个包含.env文件、带假密钥的config.yml、几行注释的项目然后打开工具故意让它分析代码、补全函数、跑一次对话。目的是观察它在“正常工作”之外有没有多余的请求。第三步盯着请求日志里的关键词。重点看三个东西有没有主动上报的POST /collect、telemetry、upload类路径请求的服务器域名是否和模型推理服务一致请求体里能不能看到文件路径、仓库名、环境变量值。我在之前的测试里发现过有些工具会把git log --format的输出直接拼进 JSON 字段里这种基本可以断定是在做“Git 历史级”的数据收集。注意抓包只能证明“有这个行为”证明不了“有恶意”。但你发现请求目标和你预期不符的时候第一反应应该是去查文档和配置而不是继续用这点别搞反了。3.2 从配置层面做隔离沙箱、白名单与权限控制网络抓包适合做一轮排查但日常开发中你不可能天天盯着代理日志。更实际的做法是提前做隔离。我现在的方案是给 AI 工具开一个单独的“工作区账号”或者独立的本地用户里面只放允许被读取的代码副本。敏感项目和密钥库放在另一个目录工具没有权限访问。如果工具支持环境变量或者白名单路径记得去配置里看一遍。比如有些编辑器插件允许你设置“仅对信任文件夹生效”这个选项不是摆设它会让插件在你打开磁盘上任一路径时不自动加载。再比如 ZCode 这类带 CLI 的工具安装后会在~/.zcode或~/.config下生成配置目录里面能找到telemetry.enabled、update.enabled这类开关能关就关不能关就考虑卸载。我在处理完 ZCode 事件之后也顺手给自己的编辑器加了限制局域网内所有开发机出一个流量白名单不在名单内的请求全部拦截。具体用系统防火墙规则就能做Windows 上在“高级安全 Windows Defender 防火墙”里出站规则限制进程Linux 上用nftables控制进程组。别嫌麻烦一次配置一劳永逸比每次装工具都手动迁就强多了。3.3 清理 Git 历史里的敏感信息亡羊补牢如果你担心自己的历史已经被上传过现在最该做的是先轮换所有可能出现在代码历史里的密钥再清理本地历史别沉浸在“可能还没传上去”的侥幸里。顺序一定不能反因为清理本地历史对已上传的数据没有任何作用但轮换密钥能掐断泄露后果。本地清理历史现在的首选工具是git filter-repo。它比老旧的git filter-branch快很多也好写很多。安装很简单pip install git-filter-repo删掉仓库里的某个敏感文件比如.envgit filter-repo --path .env --invert-paths把历史中出现的密码批量替换成占位符git filter-repo --replace-text (echo s3cr3tPssw0rdREDACTED)如果你还没能安装git-filter-repo还停留在系统自带的 Git 上那只能用传统方式硬扛git filter-branch --force --index-filter \ git rm --cached --ignore-unmatch .env \ --prune-empty --tag-name-filter cat -- --all执行完之后要把原始引用清掉然后强制推送rm -rf .git/refs/original/ git reflog expire --expirenow --all git gc --prunenow --aggressive git push --force --all origin这里要提醒一句如果这个仓库是你和同事共用的强制推送会带来更大的协作问题。你得提前通知所有人重新 clone并且把本地旧历史全部丢弃否则旧提交记录还会在任何人手里继续存着。更重要的是清理完之后所有在历史里出现过的 Token、密码、内网地址都要做轮换一个都不能留。3.4 顺手复习几个高频 Git 操作这轮风波把很多人的 Git 知识盲区也翻了出来。热词里全是“git commit --amend怎么使用”“git分支合并”“fatal: not a git repository”说明很多 ZCode 用户本来就是 Git 新手一遇到要改写历史就慌了。这里挑几个常用操作简单说下。git commit --amend是修改最近一次提交的提交信息或内容用的。比如你提交完了发现漏了一个文件、或者写错了提交说明可以先把文件加进暂存区然后执行git commit --amend -m 修正后的提交说明注意它会改写提交所以如果这个提交已经被推送到了远端你需要git push --force才能同步和前面filter-repo的风险一样协作分支上慎用。fatal: not a git repository (or any of the parent directories): .git这个报错90% 的情况是你跑 Git 命令时所在的目录不在某个工作树里。检查一下pwd看看是不是级别不对或者仓库干脆还没git init。还有可能你把.git目录当普通文件删了那就只能靠.git上级目录的备份或者远端仓库恢复了。至于分支合并通常就两道命令git checkout main git merge feature/xxx如果不想产生额外合并提交可以用git rebase把功能分支的提交线性重放到主分支顶部。但 rebase 会改写提交哈希多人协作时务必约定好规则。这类基础操作平时用不到出事的时候就会觉得自己当年欠下的 Git 课全都要还。4. 事发之后工具横评与选型避坑指南4.1 ZCode、Trae、WorkBuddy 的信任模型对比事件之后讨论区里出现了大量工具对比帖其中提到最多的是 ZCode、Trae、WorkBuddy 这三款。很多人问“到底哪个更安全”“是不是只有国产工具才会偷传”但我的答案一直都是别按国籍站队按行为站队。对比维度ZCodeTraeWorkBuddy形态IDE 插件 CLIAI IDE浏览器插件/工作流工具模型接入GLM 为主支持第三方自有模型 部分第三方主要依赖云端 API代码上下文读取可读仓库与 Git 历史以打开文件为主以网页内容为主数据处理透明度事件后受到质疑企业产品依赖官方文档面向任务型场景适用范围写代码、改 bug独立 IDE 流程自动化工作流编排这个表格只是一个粗略对照具体的行为边界每个版本都可能变化千万别拿旧版本的经验套新版本。比如我当时查 ZCode 的配置目录就发现不同小版本之间字段名都不一致有的版本telemetry默认开、有的版本改成usage_report并且默认关闭。这种版本漂移恰恰是开发者最容易踩坑的地方你搜到的教程写“已关闭”但你的版本可能压根没有这个字段。另外很多人在问“zcode添加什么skill好”这个问题的前提是工具本身值得信任。一个skill的实质是给 AI 配置一套系统提示词和工具调用规则它并不带来额外的安全隔离。如果基础工具本身会把 Git 历史打包上传那么不管你怎么调 skill数据面还是同一个。选型时一定要先看数据面再看能力面。4.2 配置第三方模型时要注意的默认值ZCode 支持配置第三方模型热词里也有“trea claude插件配置智谱glm”“union alpha 怎么配置到 zcode 中”这类搜索说明不少人在研究模型接入。这里特别想提醒一个点当你通过“自定义 API Base URL”的方式接入模型时工具会直接把你的代码上下文送到你填写的服务地址去这个过程中间有没有“转发”“缓存”“统计”你根本管不着。我自己做测试时发现有些兼容 OpenAI 协议的工具会把全部输入日志打到本地文件里并在退出时发送一段匿名统计。这段统计里可能包含你的项目名、文件后缀、但有时候会“顺手”带上你正在编辑的文件路径。如果你不想被这种边缘行为困扰建议在配置环境变量时显式关闭遥测字段比如设置DO_NOT_TRACK1或者清空OPEN_TELEMETRY_ENDPOINT具体以你用的工具文档为准。更重要的是不要轻易把“第三方模型”参数指向一个来路不明的中转服务。很多人为了省 token 会用免费的 API 聚合站但这些聚合站本身就是最大的不确定性——它们能看到你的完整对话内容、代码片段、甚至 Git 提交摘要。你为了省几块钱把公司代码喂给不明服务商这个风险比 ZCode 事件还要直接。4.3 团队层面最小化风险的三条硬规则个人开发者做自查相对容易团队里要落地就更麻烦了。结合这次事件我给团队定了三条硬规则也顺便分享出来第一条凡是 AI 编程工具进入研发环境必须经过技术负责人的审批。审批不是签个字而是实际跑一遍抓包测试确认没有多余的请求域名才能让团队安装。第二条所有涉及密钥、客户数据、内部架构图的项目目录必须和 AI 工具的工作目录隔离规则写进AGENTS.md或者开发规范文档里随仓库一起走。第三条每年的依赖审计里把“IDE 插件和开发工具”单独列一项因为很多人只审第三方库却忘了编辑器插件、CLI 工具、自动补全插件才是有最高权限的组成部分。这三条规则如果早一点落地ZCode 事件的影响会小很多。工具本身是有效率的问题在于你怎么给它画活动边界。画好了它就是助手画不好它就是内鬼。5. 复盘反思与我的几点实际操作体会5.1 信任危机背后的行业共性问题现在回头看这波 48 小时风波我认为 ZCode 只是撞在了枪口上真正的问题是整个 AI 编程工具行业都在快速扩张而“透明性”远远没跟上。你能看到每家产品都强调自己代码能力多强、支持多少种模型、补全多准但很少有人把自己“上传了什么数据、什么时候传、传到哪里”放在官网首页。不公开用户就只能靠抓包来反向验证一旦抓到可疑行为之前积累的品牌信任瞬间清零。我并不是说所有工具都一定有恶意收集行为。很多产品只是在快速迭代中把遥测、埋点、日志上报做得很粗糙团队没想过用户会在意这些“外部请求”。但是“没想到用户会在意”本身就是一个严重问题。开发工具的用户是世界上最敏感、最擅长取证的一群人你粗糙的技术实现落到他们手里就会被翻译成“偷代码”。这个教训对所有做开发者工具的产品团队都适用。5.2 我对自己工作流的三处实际调整经过这件事我改了自己的工作方式。第一不再把公司核心项目的完整仓库直接放进 AI 工具的上下文里。需要它帮忙改模块就单独导出一个裁剪过的目录去掉.git目录和历史文件只保留代码主体。第二给自己开发机加了一层网络审计每周用脚本扫一遍最近的出站请求日志如果发现新域名立刻手动核验。这个脚本很简单核心就是读取防火墙日志里的目标地址排序后对比白名单。第三也是最重要的一点我在团队内部强制推行了“密钥轮换日”。以前是发现问题才轮换现在改成每季度全量轮换一次所有云端密钥、API Key、内部证书全部换新。之所以这么做是因为 Git 历史泄露这种事是“不可撤回”的——一旦数据传出去你甚至不知道对方什么时候会利用它。定期轮换密钥至少能把泄露窗口压缩到可控范围。再说回 ZCode 本身我并没有直接卸载它因为单从功能上说它的代码补全和 GLM 模型接入体验确实不错。但我给它加了严格的限制装在一个独立的虚拟环境里不连公司内网默认关闭所有能关的开关并且每次启动之前我都会看一眼它最近的请求日志。信任这个东西丢了之后再捡回来就需要对方用行动一点一点证明。对于开发者工具来说这种证明的门槛只会越来越高。我个人在实际排查里还有个特别有用的技巧新装这类工具后先切换到没有任何敏感代码的临时项目打开系统网络监视器Windows 上叫“资源监视器”macOS 上可以用nettop观察它空闲状态下是否还有周期性流量。如果空闲状态都在向外发包那它大概率做的不只是“模型推理”。这个技巧不针对 ZCode适合你接下来装任何新工具时先用一遍。工具可以换环境干净了你手里的代码才真正算你自己的。