Η Z.AI διαθέτει τον κώδικα του ZCode μετά την κρυφή μεταφόρτωση αρχείων προγραμματιστών

Η Z.AI, η κινεζική εταιρεία τεχνητής νοημοσύνης πίσω από την οικογένεια μοντέλων GLM, διέθεσε τον πηγαίο κώδικα του βοηθού προγραμματισμού ZCode τη Δευτέρα, μετά την αποκάλυψη ότι το εργαλείο συγκέντρωνε και ανέβαζε κρυφά τοπικά δεδομένα των προγραμματιστών σε διακομιστές cloud χωρίς τη συγκατάθεσή τους.

Η κίνηση αυτή συνοδεύτηκε από τα αποτελέσματα ελέγχων ασφαλείας από τρίτους, συγκεκριμένα από την Κινεζική Ακαδημία Τεχνολογίας Πληροφοριών και Επικοινωνιών (CAICT) και την NSFOCUS, οι οποίοι επιβεβαίωσαν ότι ο κάδος αποθήκευσης στο Alibaba Cloud που χρησιμοποιήθηκε για τις μεταφορτώσεις δεν περιέχει πλέον δεδομένα και ότι όλα τα σχετικά αρχεία έχουν διαγραφεί οριστικά.kucoin+1

Πώς ανακαλύφθηκε η παραβίαση

Η διαμάχη ξεκίνησε στις 18 Σεπτεμβρίου, όταν ένας ανεξάρτητος Κινέζος ερευνητής τεχνολογίας με το ψευδώνυμο "ferstar" ανακάλυψε ότι το ZCode είχε πακετάρει 42.411 αρχεία από έναν τοπικό χώρο εργασίας σε ένα κρυπτογραφημένο αρχείο 313MB και είχε πραγματοποιήσει 564 αποτυχημένες προσπάθειες μεταφόρτωσης στο Alibaba Cloud. Ο κατάλογος .git αποτελούσε το 86,6% του όγκου, με τις προσωρινές μνήμες του Git LFS να φτάνουν συνολικά τα 196,1MB.aiweekly+1

Τα αρχεία ήταν κρυπτογραφημένα με δημόσιο κλειδί RSA και AES-256-CTR, πράγμα που σημαίνει ότι ούτε ο χρήστης ούτε ο πελάτης ZCode μπορούσαν να τα αποκρυπτογραφήσουν, καθώς μόνο το backend της Z.AI κατείχε το ιδιωτικό κλειδί. Η Z.AI απέδωσε το ζήτημα σε μια λειτουργία "Ευρετηρίασης Κώδικα" (Codebase Indexing) που ήταν ενεργοποιημένη από προεπιλογή, η οποία μπορούσε να προκαλέσει πλήρη μεταφόρτωση αποθετηρίου κατά τη δημιουργία μιας σελίδας "Repo Wiki" στο cloud.the420+2

Ανοιχτός κώδικας και απάντηση στους ελέγχους

Η Z.AI ζήτησε συγγνώμη και διέθεσε τον πηγαίο κώδικα του ZCode υπό άδεια Apache 2.0 τη Δευτέρα, σύμφωνα με το Reuters. Η εταιρεία δήλωσε ότι η έκδοση 3.14.0 του ZCode έχει ολοκληρώσει τις διορθώσεις ασφαλείας, αφαιρώντας πλήρως τη λειτουργία Repo Wiki και διακόπτοντας τις διαδρομές δημιουργίας και μεταφόρτωσης στιγμιότυπων τοπικών αποθετηρίων.reuters+2

Η Z.AI ανακοίνωσε επίσης σχέδια για τη δημιουργία μιας διαδικασίας αναφοράς και απόκρισης σε ευπάθειες, με ανταμοιβές ανάλογα με τη σοβαρότητα, και κάλεσε τους προγραμματιστές να ελέγξουν τον κώδικα ανοιχτής πηγής. Η πλατφόρμα MaaS της εταιρείας θα εισαγάγει σύντομα μια επιλογή "μη διατήρησης δεδομένων" για τυπικές κλήσεις μοντέλων, σύμφωνα με το TechNode.thestandard+1

Αναπάντητα ερωτήματα

Παρά τα βήματα αυτά, τρίτα μέρη δεν μπορούν ακόμη να επαληθεύσουν ανεξάρτητα αν τα μεταφορτωμένα δεδομένα χρησιμοποιήθηκαν για την εκπαίδευση μοντέλων, καθώς η Z.AI διατήρησε τον αποκλειστικό έλεγχο των κλειδιών αποκρυπτογράφησης. Μια κινεζική εταιρεία, η Chengming Technology, έχει εκδώσει επίσημη νομική απαίτηση ζητώντας από τη Z.AI να απαντήσει γραπτώς έως τις 10 Οκτωβρίου με πλήρη κατάλογο επεξεργασίας δεδομένων και αποδείξεις διαγραφής.finance.biggo+2

Οι μετοχές της Z.AI στο Χρηματιστήριο του Χονγκ Κονγκ υποχώρησαν έως και 6 τοις εκατό τη Δευτέρα, πριν ανακάμψουν και κλείσουν με άνοδο 1,8 τοις εκατό.thestandard