Z.AI, geliştirici dosyalarını gizlice yükleyen ZCode’un kaynak kodunu açtı

GLM model ailesinin arkasındaki Çinli yapay zeka şirketi Z.AI, aracın geliştiricilerin yerel çalışma alanı verilerini izinsiz olarak paketleyip bulut sunucularına yüklediğinin ortaya çıkmasının ardından Pazartesi günü ZCode kodlama asistanını açık kaynaklı hale getirdi.

Bu hamle, Çin Bilgi ve İletişim Teknolojileri Akademisi (CAICT) ve NSFOCUS tarafından yürütülen üçüncü taraf güvenlik denetimlerinin sonuçlarıyla birlikte geldi. Denetimler, yüklemeler için kullanılan Alibaba Cloud depolama alanının artık veri içermediğini ve ilgili tüm veri nesnelerinin kalıcı olarak silindiğini doğruladı.kucoin+1

İhlal Nasıl Keşfedildi

Tartışma, 18 Eylül'de "ferstar" adıyla yayın yapan bağımsız bir Çinli teknoloji araştırmacısının, ZCode'un yerel bir çalışma alanındaki 42.411 dosyayı 313 MB'lık şifreli bir arşivde paketlediğini ve Alibaba Cloud'a 564 başarısız yükleme denemesi yaptığını keşfetmesiyle başladı. .git dizini yükün %86,6'sını oluştururken, yalnızca Git LFS önbellekleri toplam 196,1 MB tutuyordu.aiweekly+1

Dosyalar, sunucu tarafından sağlanan bir RSA genel anahtarı ve AES-256-CTR kullanılarak şifrelenmişti; bu da ne kullanıcının ne de ZCode istemcisinin bunları çözemeyeceği, yalnızca Z.AI'nin arka ucunun özel anahtara sahip olduğu anlamına geliyordu. Z.AI, sorunu lansmandan sonra varsayılan olarak etkinleştirilen ve bulut tabanlı bir "Repo Wiki" sayfası oluştururken tam depo yüklemelerini tetikleyebilen bir "Kod Tabanı İndeksleme" özelliğine bağladı.the420+2

Açık Kaynak ve Denetim Yanıtı

Reuters'in haberine göre Z.AI özür diledi ve Pazartesi günü ZCode'un kaynak kodunu Apache 2.0 lisansı altında yayınladı. Şirket, ZCode sürüm 3.14.0'ın güvenlik iyileştirmesini tamamladığını, Repo Wiki özelliğini tamamen kaldırdığını ve yerel depo anlık görüntüsü oluşturma ve yükleme yollarını kestiğini belirtti.reuters+2

Z.AI ayrıca, ciddiyete dayalı ödüllerle birlikte devam eden bir güvenlik açığı bildirme ve yanıt verme süreci oluşturma planlarını duyurdu ve geliştiricileri açık kaynaklı kodu incelemeye davet etti. TechNode'a göre, MaaS platformu yakında standart model çağrıları için bir "veri tutmama" seçeneği sunacak.thestandard+1

Cevaplanmamış Sorular

Bu adımlara rağmen, dış taraflar yüklenen verilerin model eğitimi için hiç kullanılmadığını bağımsız olarak doğrulayamıyor, çünkü Z.AI şifre çözme anahtarları üzerinde özel kontrolü elinde tutuyor. Çinli bir firma olan Chengming Technology, Z.AI'den 10 Ekim'e kadar yazılı olarak tam bir veri işleme envanteri ve silme kanıtı sunmasını talep eden resmi bir yasal bildirimde bulundu.finance.biggo+2

Z.AI'nin Hong Kong Borsası'ndaki hisseleri Pazartesi günü yüzde 6'ya kadar düştükten sonra toparlanarak günü yüzde 1,8 artışla kapattı.thestandard