„Z.AI“ atveria „ZCode“ kodo šaltinius po to, kai įrankis slapta įkėlė kūrėjų failus

Kinijos dirbtinio intelekto bendrovė „Z.AI“, kurianti GLM modelių šeimą, pirmadienį atvėrė savo kodavimo pagalbininko „ZCode“ kodo šaltinius po to, kai paaiškėjo, kad įrankis be sutikimo slapta rinko ir kėlė kūrėjų vietinio darbo vietos duomenis į debesijos serverius.

Šis žingsnis žengtas po trečiųjų šalių saugumo auditų, kuriuos atliko Kinijos informacinių ir ryšių technologijų akademija (CAICT) bei „NSFOCUS“. Jie patvirtino, kad „Alibaba Cloud“ saugykloje, naudotoje įkėlimams, duomenų nebėra, o visi susiję duomenų objektai buvo visam laikui ištrinti.kucoin+1

Kaip buvo aptiktas pažeidimas

Ginčas kilo rugsėjo 18 d., kai nepriklausomas Kinijos technologijų tyrėjas, pasivadinęs „ferstar“, aptiko, kad „ZCode“ supakavo 42 411 failų iš vietinės darbo vietos į 313 MB užšifruotą archyvą ir atliko 564 nesėkmingus įkėlimo bandymus į „Alibaba Cloud“. .git katalogas sudarė 86,6 proc. duomenų, o vien „Git LFS“ talpyklos užėmė 196,1 MB.aiweekly+1

Failai buvo užšifruoti naudojant serverio pateiktą RSA viešąjį raktą ir AES-256-CTR, o tai reiškia, kad nei vartotojas, nei „ZCode“ klientas negalėjo jų iššifruoti – tik „Z.AI“ serveris turėjo privatų raktą. „Z.AI“ šią problemą priskyrė „Codebase Indexing“ funkcijai, kuri po paleidimo buvo įjungta pagal numatytuosius nustatymus ir galėjo inicijuoti viso saugyklos įkėlimą kuriant debesijos pagrindu veikiantį „Repo Wiki“ puslapį.the420+2

Atviras kodas ir audito atsakas

Kaip praneša „Reuters“, „Z.AI“ atsiprašė ir pirmadienį išleido „ZCode“ kodo šaltinius pagal „Apache 2.0“ licenciją. Bendrovė teigė, kad „ZCode“ 3.14.0 versija baigė saugumo pataisymus, visiškai pašalindama „Repo Wiki“ funkciją ir nutraukdama vietinės saugyklos momentinių kopijų kūrimo bei įkėlimo kelius.reuters+2

„Z.AI“ taip pat paskelbė apie planus sukurti nuolatinį pažeidžiamumų pranešimo ir reagavimo procesą su atlygiais, priklausančiais nuo rimtumo, ir pakvietė kūrėjus peržiūrėti atvirą kodą. Pasak „TechNode“, jos „MaaS“ platforma netrukus pristatys „duomenų nesaugojimo“ parinktį standartiniams modelio iškvietimams.thestandard+1

Likę klausimai

Nepaisant šių žingsnių, išorės šalys vis dar negali nepriklausomai patikrinti, ar įkelti duomenys niekada nebuvo naudojami modelių mokymui, nes „Z.AI“ išlaikė išskirtinę šifravimo raktų kontrolę. Kinijos įmonė „Chengming Technology“ pateikė oficialų teisinį reikalavimą, kuriuo „Z.AI“ įpareigojama iki spalio 10 d. raštu pateikti išsamų duomenų tvarkymo inventorių ir ištrynimo įrodymus.finance.biggo+2

„Z.AI“ akcijos Honkongo vertybinių popierių biržoje pirmadienį nukrito iki 6 proc., tačiau vėliau atsigavo ir prekybą baigė 1,8 proc. aukščiau.thestandard