知识卡片：智谱就ZCode安全问题致歉，客户端代码全面开源

英文关键词：ZCode、GitHub、Repo Wiki、v3.14.0、zcode-prod、OSS
原始来源：腾讯研究院AI速递 20260922（第2条），URL: https://m.sohu.com/a/1079182317_455313?scm=10001.325_13-325_13.0.0-0-0-0-0.5_1334&digest_item=2

一句话结论

针对社区反馈的安全问题，智谱ZCode团队完成整改并致歉，将ZCode开源至GitHub接受社区监督，承诺建立常态化安全漏洞反馈与奖励机制；第三方审计确认相关阿里云OSS存储桶及数据已删除，且未发现可触发文件外发的功能路径。

事件概述或研究问题

本条记录AI编程工具ZCode因社区安全反馈而进行的整改与公开化处理。问题焦点包括：客户端是否留存或上传本地代码/仓库数据、相关数据是否用于模型训练、以及是否存在可触发文件外发的功能路径。团队以道歉、开源、删除存储桶、移除功能链路和引入第三方审计回应。

方法/产品要点

• 整改与开源：ZCode团队完成整改并向用户道歉；将ZCode开源至GitHub，交由社区监督；计划建立常态化安全漏洞反馈与奖励机制。
• 数据与训练承诺：团队承诺社区提及的代码数据无留存、从未用于模型训练。
• 客户端变更：v3.14.0客户端已移除Repo Wiki功能，切断本地仓库快照生成与上传链路。
• 审计结论：中国信通院与绿盟科技审计确认，zcode-prod阿里云OSS存储桶内全部数据及存储桶本身均已删除，未发现可触发文件外发的功能路径。

主要结果或产业意义

• 对用户侧：官方以版本更新、功能移除和第三方审计结论回应代码数据安全担忧。
• 对开发工具生态：AI编程/代码助手进入安全合规压力测试期，开源与外部审计成为重建信任的手段。
• 对治理侧：漏洞反馈与奖励机制若落地，可能形成AI编程工具安全运营的常态化流程。

为什么重要

AI编程工具直接接触本地仓库与源代码，安全信任是其商业化前提。本条与既有OpenRouter等AI基础设施卡片的关注点不同：增量信息在于，一个具体AI编程客户端因社区安全质疑而采取“道歉—开源—删数据—审计—漏洞奖励”的组合整改，提供了行业信任修复案例。材料未显示与已有NIST/Epoch/OpenRouter卡片存在事实重复。

局限与不确定性

• 具体安全问题细节、影响范围、是否曾发生用户数据泄露或训练使用，材料未说明，待核实。
• “代码数据无留存、从未用于模型训练”为团队承诺；第三方审计是否覆盖该训练使用问题，材料未说明，待核实。
• GitHub开源仓库地址、许可证、开源代码范围与“客户端代码全面开源”的完整定义，待核实。
• 常态化安全漏洞反馈与奖励机制的具体规则、生效时间与覆盖范围，待核实。
• 审计报告全文与审计边界（时间、范围、方法）未在材料中给出，待核实。

可用于图书/PPT/简报的角度

• 案例：AI编程工具的安全质疑如何转化为开源与审计行动。
• 框架：AI开发工具安全治理清单——本地仓库访问、数据留存、训练使用、外发链路、第三方审计、漏洞奖励。
• 趋势：代码助手竞争从功能转向“安全可信”与社区监督。
• 对比：与常规产品致歉不同，ZCode以删除云存储桶、移除功能链路和开源客户端来回应。

原始材料

• 原始来源：腾讯研究院AI速递 20260922
• 原始标题：腾讯研究院AI速递 20260922
• 英文标题：无（原始标题为中文）
• 英文关键词：ZCode, GitHub, Repo Wiki, v3.14.0, zcode-prod, OSS
• URL: https://m.sohu.com/a/1079182317_455313?scm=10001.325_13-325_13.0.0-0-0-0-0.5_1334&digest_item=2
• 对应条目：第2条“智谱就ZCode安全问题致歉，客户端代码全面开源”