Z.AI gör ZCode till öppen källkod efter att verktyg i hemlighet laddat upp utvecklarfiler

Z.AI, det kinesiska AI-företaget bakom GLM-modellfamiljen, gjorde sin kodassistent ZCode till öppen källkod på måndagen efter att verktyget ertappats med att i tysthet paketera och ladda upp utvecklares lokala arbetsfiler till molnservrar utan samtycke.

Beslutet kom i samband med resultat från tredjepartsrevisioner utförda av China Academy of Information and Communications Technology (CAICT) och NSFOCUS, som bekräftade att den Alibaba Cloud-lagring som använts för uppladdningarna nu är tom och att alla relevanta dataobjekt har raderats permanent.kucoin+1

Hur intrånget upptäcktes

Kontroversen började den 18 september när en oberoende kinesisk teknikforskare som publicerar under namnet "ferstar" upptäckte att ZCode hade paketerat 42 411 filer från en lokal arbetsyta i ett 313 MB stort krypterat arkiv och gjort 564 misslyckade uppladdningsförsök till Alibaba Cloud. .git-katalogen stod för 86,6 % av innehållet, där enbart Git LFS-cache utgjorde 196,1 MB.aiweekly+1

Filerna krypterades med en RSA-publik nyckel från servern och AES-256-CTR, vilket innebär att varken användaren eller ZCode-klienten kunde dekryptera dem, då endast Z.AI:s backend innehade den privata nyckeln. Z.AI tillskrev problemet en "Codebase Indexing"-funktion som varit aktiverad som standard efter lanseringen, vilken kunde utlösa fullständiga uppladdningar av arkiv vid generering av en molnbaserad "Repo Wiki"-sida.the420+2

Öppen källkod och revision

Z.AI bad om ursäkt och släppte ZCodes källkod under en Apache 2.0-licens på måndagen, enligt Reuters. Företaget uppgav att ZCode version 3.14.0 har genomgått säkerhetsåtgärder där Repo Wiki-funktionen tagits bort helt och att vägarna för generering och uppladdning av lokala arkivögonblicksbilder har stängts.reuters+2

Z.AI meddelade också planer på att etablera en löpande process för sårbarhetsrapportering och respons, med belöningar baserade på allvarlighetsgrad, och bjöd in utvecklare att granska källkoden. Deras MaaS-plattform kommer snart att introducera ett alternativ för "ingen datalagring" för standardanrop, enligt TechNode.thestandard+1

Kvarstående frågor

Trots dessa åtgärder kan utomstående parter fortfarande inte oberoende verifiera att uppladdad data aldrig använts för modellträning, eftersom Z.AI behöll exklusiv kontroll över dekrypteringsnycklarna. Ett kinesiskt företag, Chengming Technology, har utfärdat ett formellt juridiskt krav på att Z.AI ska svara skriftligen senast den 10 oktober med en fullständig inventering av databehandling och bevis på radering.finance.biggo+2

Aktierna i Z.AI på Hongkongbörsen föll med upp till 6 procent på måndagen innan de återhämtade sig och stängde 1,8 procent högre.thestandard