Společnost Z.AI uvolnila zdrojový kód ZCode poté, co nástroj tajně nahrál soubory vývojářů

Čínská společnost Z.AI, která stojí za rodinou modelů GLM, v pondělí uvolnila zdrojový kód svého programátorského asistenta ZCode poté, co bylo zjištěno, že nástroj bez souhlasu tiše balil a nahrával místní pracovní soubory vývojářů na cloudové servery.

Tento krok následoval po výsledcích bezpečnostních auditů třetích stran, které provedly Čínská akademie informačních a komunikačních technologií (CAICT) a společnost NSFOCUS. Ty potvrdily, že úložiště Alibaba Cloud používané pro nahrávání nyní neobsahuje žádná data a že všechny příslušné datové objekty byly trvale smazány.kucoin+1

Jak byl incident objeven

Kontroverze začala 18. září, kdy nezávislý čínský technologický výzkumník publikující pod jménem „ferstar“ zjistil, že ZCode zabalil 42 411 souborů z místního pracovního prostoru do 313MB zašifrovaného archivu a provedl 564 neúspěšných pokusů o nahrání na Alibaba Cloud. Adresář .git tvořil 86,6 % objemu dat, přičemž samotné mezipaměti Git LFS činily 196,1 MB.aiweekly+1

Soubory byly zašifrovány pomocí veřejného klíče RSA dodaného serverem a algoritmu AES-256-CTR, což znamená, že je nemohl dešifrovat uživatel ani klient ZCode – soukromý klíč držel pouze backend společnosti Z.AI. Společnost Z.AI připsala problém funkci „Codebase Indexing“, která byla po spuštění ve výchozím nastavení aktivní a mohla spustit nahrávání celého úložiště při generování cloudové stránky „Repo Wiki“.the420+2

Reakce na open source a audit

Podle agentury Reuters se společnost Z.AI omluvila a v pondělí uvolnila zdrojový kód ZCode pod licencí Apache 2.0. Společnost uvedla, že verze ZCode 3.14.0 prošla bezpečnostní nápravou, při níž byla funkce Repo Wiki zcela odstraněna a byly přerušeny cesty pro generování a nahrávání snímků místních úložišť.reuters+2

Z.AI rovněž oznámila plány na zavedení průběžného procesu hlášení zranitelností a reakce na ně, s odměnami založenými na závažnosti, a vyzvala vývojáře, aby si otevřený kód prohlédli. Podle serveru TechNode její platforma MaaS brzy zavede možnost „bez uchovávání dat“ pro standardní volání modelů.thestandard+1

Přetrvávající otázky

Navzdory těmto krokům nemohou externí strany nezávisle ověřit, zda nahraná data nebyla nikdy použita k trénování modelů, protože Z.AI si ponechala výhradní kontrolu nad dešifrovacími klíči. Čínská firma Chengming Technology vydala formální právní výzvu, která po Z.AI požaduje, aby do 10. října písemně odpověděla a předložila kompletní soupis zpracování dat a důkaz o jejich smazání.finance.biggo+2

Akcie společnosti Z.AI na burze v Hongkongu v pondělí klesly až o 6 procent, než se zotavily a uzavřely o 1,8 procenta výše.thestandard