スマートスペクトラムからのデータの秘密送信をめぐる論争が拡大、一部の企業は国境を越えたデータ送信の是非について明確化を求めている

要約:

Zhipu によってパッケージ化およびアップロードされたユーザーのデータはどこにありますか? Zhipu氏が謝罪した直後、ZCodeの「盗まれたデータ転送」を巡る論争は「データエクスポート」に話題が移った。

ZCode インターフェース

9 月 19 日夜、太原成明科技有限公司 (以下、「成明科技」) は北京芝埔華庄科技有限公司 (以下、「芝埔」) に送った書簡を正式に公開し、芝埔の AI プログラミング ツールである ZCode に関わるコードベース データのアップロード問題に関する詳細情報を開示するとともに、更なる法的措置を講じる権利を留保すると述べた。

プロジェクト全体の中核となる資産が盗まれそうになった?

この事件は 9 月 18 日に遡ることができると考えられています。その日の早朝、個人開発者の ferstar は、313MB の暗号化された圧縮パッケージをローカルで見つけたとテクノロジー フォーラムに投稿しました。ステータス ファイルには、10G 商用プロジェクトのほぼすべてのコア アセットが含まれていることがわかりました。しかし、アップロードの失敗によりローカルでスタックし、発見されるまで 564 回失敗していました。

ZCode クライアントをリバースした後、ferstar は、ユーザーがログインすると、クライアントが完全な Git バージョン履歴、LFS キャッシュ、reflog およびその他のコンテンツを含むワークスペース スナップショットを生成することを発見しました。これらのスナップショットはローカルで暗号化され、Zhipu によって Alibaba Cloud OSS にアップロードされます。

開発者は、暗号化プロセスで使用される RSA 公開キーがサーバーによって発行されることにも言及しました。ローカルで生成された暗号化パッケージは、ユーザーまたはクライアント自体が解凍することはできません。アップロード メカニズムはデフォルトで常にオンになっており、クライアント インターフェイスには実際にオフにするスイッチはありません。

ferstar によって復元された ZCode アップロード リンク

この記事は公開後、すぐに注目を集めました。何人かのユーザーがフェルスター法による再現に成功し、機構の存在が確認されました。

その日の午後、Zhipu 氏は ZCode ユーザーグループを通じて謝罪した。 Zhipu氏は、この問題は、セッションチェックポイントの回復、履歴バージョンのロールバック、Repo Wiki（ウェアハウス百科事典）やその他の機能をサポートするために使用されるZCodeの「コードベースインデックス」機能に起因すると説明した。 Repo Wiki は、ページの生成時にウェアハウス データのアップロードをトリガーする場合があります。

Zhipu は、この機能がリリースの初期段階でデフォルトで有効になっていたため、一部のユーザーが影響を受けたため、深くお詫び申し上げますと述べました。

Zhipu はまた、近い将来 ZCode コード ベースをオープンソース化し、システム動作をレビューするサードパーティの評価者を導入し、すべてのユーザーに追加の毎週のクォータ リセットを提供することも発表しました。

ZCdoe はユーザー グループ内で謝罪しました。 IT ホームからの画像

データがシンガポールに流出している疑いがある

しかし、Chengming Technology は、スマート スペクトル データの実際のアップロード範囲、フロー方向、いわゆる修復時間に疑問を抱いています。

Chengming Technology は書簡の中で、独自の技術証拠収集を通じて、8 月 28 日から 9 月 14 日にかけて、同社の 6 つ以上のワークスペースが ZCode によってクラウドにアップロードされ、最大のワークスペースのサイズは 391.94 MB に達したことが判明したと述べています。

さらに、Chengming Technology の別のプロジェクトのワークスペースは現在パッケージ化されていますが、アップロードが 32 回失敗したため、まだ Zhipu Cloud に正常に配信されていないため、ローカルに残っており、削除されていません。 「この状況は、会社の処理動作が自動的にトリガーされ、バッチで発生することを証明するには十分であり、会社の明示的または黙示的な同意を前提としていません。」

Chengming Technology Douyin アカウント

Chengming Technology は、アップロードされたコンテンツは、Zhipu が公式に呼んでいた「コード スニペット」ではなく、プロジェクトの完全なソース コードとシステム アーキテクチャ設計、完全なバージョン管理履歴 (削除された履歴送信ログと参照ログを含む)、データベース パスワード、インターフェイス キー、クラウド サービスの資格情報と証明書、従業員とエンド ユーザーの個人情報、および未公開の研究開発計画と事業計画を含む完全なアーカイブ ファイルであり、「ZCode プライバシー」に記載されている収集範囲をはるかに超えていると指摘しました。ポリシー」。

同時に、Chengming Technology は実際のデータの流れに関する問題も明らかにしました。

Chengming Technology は、

ZCode クライアントからのすべてのネットワーク リクエストが zcode.z.ai および cdn-zcode.z.ai ドメイン名に送信されることを発見しました。

香港証券取引所にある Zhipu の目論見書によると、JINGSHENG HENGXING は、2023 年 11 月にシンガポールで登録された Zhipu の間接完全子会社です。ZCode の英語版では、契約書とプライバシー ポリシーで、JINGSHENG HENGXING がサービスを提供し、データ処理を担当することが明確です。ただし、中国語版の ZCode ユーザー規約には、サービスプロバイダーが「Beijing Zhipu Huazhang Technology Co., Ltd.」と規定されています。また、プライバシーポリシーには、データ処理者が「Beijing Zhipu Huazhang」であると規定されています。

中国の ZCode プライバシー協定では、中国が中国国内での事業において収集および生成したすべての個人情報は中国国内で保管され、国境を越えて転送または保管されないことにも言及しています。国境を越えた送信や保存が必要な場合は、法令により通知が義務付けられていない場合を除き、事前に利用者に通知し、利用者の同意を得ます。

ZCode プライバシー規約

そのため、Chengming Technology は Zhipu に対し、ZCode の実際のデータ処理対象と、国境を越えた送信や海外保存の有無について説明するよう求めています。

さらに、Chengming Technology は公開書簡の中で、関連するデータ処理の停止、アップロードされたデータとキャッシュ バックアップの削除、データ処理とアクセス記録の開示、第三者と共有されているかモデルのトレーニングに使用されているかの説明、削除証明書の提供などを含む 11 項目の主要な要求を Zhipu に行い、10 月 10 日までに書面で回答するよう Zhipu に求めています。

現在、Zhipu は Chengming Technology の書簡に対してこれ以上の返答を行っていません。しかし、ZCodeは9月19日にバージョン3.14.0をリリースしており、アップデートログには「ウェアハウス百科事典のアップロード異常問題が修正された」と明記されている。