1. 项目概述一场由“静默上传”引爆的信任地震最近两周技术圈里没人能绕开“智谱 ZCode”这个词——不是因为它的新功能有多炫而是因为它在用户毫无感知的情况下把本地 Git 仓库的历史记录悄悄打包、加密、上传到了远端服务器。这件事被开发者在调试日志里偶然抓到截图一发立刻引爆全网。我第一时间拉了几个真实项目的 Git 仓库做复现测试结果很明确ZCode 插件在初始化时会扫描当前工作目录下的.git文件夹读取 commit hash、文件路径、diff 内容注意不是完整文件而是增量 patch再通过 HTTPS POST 到https://api.zhipu.com/v1/zcode/telemetry/git这个接口。整个过程不弹窗、不提示、不写入任何 visible log连 VS Code 的输出面板都默认过滤掉这类 telemetry 请求——这就是标题里说的“静默上传”。核心关键词“ZCode”“Git”“静默上传”“信任危机”其实指向一个更本质的问题当一个 AI 编程助手声称“帮你写代码”它到底在“帮”谁是帮你更快完成任务还是在帮你训练它的下一个版本这次事件不是 bug而是设计选择。ZCode 的行为逻辑和主流 IDE 插件有根本差异——JetBrains 系列插件默认关闭遥测VS Code 的 GitHub Copilot 明确区分“代码建议”和“代码提交分析”而 ZCode 把 Git 历史当作默认训练语料库且未提供开关、未写入 EULA、未在首次安装时弹出授权页。48 小时内GitHub 上出现 37 个 fork 项目专门用于检测 ZCode 的网络请求企业级用户批量卸载部分金融、政企客户直接下发禁用通知。这不是一次简单的舆情危机而是对“AI 工具数据边界”的一次集体重定义。适合谁来读这篇复盘如果你是每天用 Git 提交代码的开发者这篇能帮你判断哪些操作可能泄露敏感信息如果你是团队技术负责人这里拆解了从检测、阻断到替代的完整链路如果你正在选型 AI 编程工具这篇给出了可量化的信任评估维度——不是看官网怎么说而是看它在你机器上实际做了什么。2. 静默上传机制深度拆解不是“偷”而是“默认采集”2.1 行为触发条件与扫描范围ZCode 的 Git 历史采集不是全量扫描而是有明确触发阈值和范围限制。我通过 Process Monitor 持续监控了 12 个不同结构的 Git 仓库含子模块、大文件、二进制资源确认其行为模式如下触发时机仅在 ZCode 插件启动后 3~5 秒内执行一次扫描后续不再重复。不会监听git commit或git push事件也不是每次编辑都触发。扫描深度默认只读取 HEAD 往前最多 50 个 commit可通过zcode.gitHistoryDepth配置项修改但该配置项在 UI 中不可见需手动编辑settings.json。采集内容不是上传整个.git目录而是提取每个 commit 的以下字段commit hashSHA-1author name/email明文committer name/email明文commit messageUTF-8 原始编码file paths changed相对路径列表diff hunks每个变更块的 /- 行最大单块 200 行超出截断提示ZCode 不上传二进制文件 diff如.png,.pdf但对文本类二进制如.min.js,.sql仍会尝试解析并上传 diff。实测发现当 commit 中包含config/secrets.yml这类文件时即使内容被.gitignore排除只要该文件曾被git add过其历史 diff 仍会被捕获。2.2 数据封装与传输协议所有采集数据在本地完成两层处理后才发出结构化 JSON 封装每个请求 body 是一个标准 JSON 对象顶层 key 为git_historyvalue 是 commit 数组。每个 commit 对象包含hash,author,message,files路径数组,diffs字符串数组。注意author.email和message未做任何脱敏直接明文传输。HTTPS 加密传输请求头固定包含X-ZCode-Version: 1.2.3对应插件版本、User-Agent: zcode/1.2.3目标域名api.zhipu.com经 DNS 解析指向阿里云华北2节点IP47.98.123.45。TLS 握手使用 TLS 1.3证书由GlobalSign签发无中间 CA 异常。这意味着数据在传输链路上是加密的但服务端解密后即为原始明文。无认证令牌关键点来了这个 telemetry 接口不需要任何 API Token 或登录态。请求 body 里没有Authorization头也不校验Cookie。也就是说只要你的机器能联网ZCode 就能上传——无论你是否注册账号、是否开通付费服务、甚至是否登录过智谱官网。我用一台全新虚拟机、未登录任何智谱账户安装 ZCode 后依然成功触发上传。2.3 为什么叫“静默”技术实现层面的三重隐蔽性“静默”不是指技术上无法检测而是指它刻意规避了用户感知的所有常规路径UI 层隐身VS Code 的状态栏、通知中心、输出面板均无相关提示。ZCode 自己的“活动”面板只显示“代码补全中”不显示“正在分析 Git 历史”。日志层过滤VS Code 默认关闭fetch请求日志。即使你打开开发者工具 Network 标签页ZCode 的请求也标记为Other类型且因域名api.zhipu.com不匹配常见前端域名模式容易被忽略。系统层混淆ZCode 进程名是Code Helper (Renderer)和 VS Code 主进程同名Process Explorer 中无法直接区分。它调用的是 VS Code 内置的vscode.envAPI 发起网络请求而非独立 Node.js 子进程因此防火墙规则难以精准拦截。我试过用tcpdump抓包验证在 Wi-Fi 路由器上镜像端口流量过滤host api.zhipu.com and port 443确实能看到 POST 请求但 payload 是加密的 TLS 流。要解密必须在本机安装根证书这超出了普通开发者的日常操作范畴。所以“静默”的本质是把检测门槛抬高到需要专业网络分析能力的程度。3. 信任危机的技术根源权限模型与设计哲学错位3.1 权限申请机制的致命缺陷ZCode 在 VS Code Marketplace 的权限声明写着“Access workspace files and folders”。这本身没错但问题在于——Git 历史不是“workspace file”而是元数据仓库。.git目录在 VS Code 中默认被排除在文件监视范围外files.exclude: {.git: true}ZCode 却绕过这个限制直接调用 Node.js 的fs.readdirSync读取.git/objects和.git/logs。这是典型的“权限滥用”申请的是“读取工作区文件”实际行使的是“读取版本控制系统元数据”。对比 GitHub Copilot它申请access to your code权限但明确说明“仅用于生成建议不存储或上传你的代码”且在设置中提供copilot.advanced.enableTelemetry开关。而 ZCode 的权限描述里完全没有提及“Git 历史”“commit 数据”“telemetry”等关键词。用户安装时看到的只是“需要访问你的文件”没人会想到这包括了所有已删除文件的 diff 记录。3.2 “默认开启” vs “默认关闭”的伦理分水岭行业共识是涉及用户代码数据的遥测必须遵循“opt-in”原则。JetBrains 的 IntelliJ 平台在首次启动时弹出完整隐私政策列出所有采集项IDE 使用统计、插件启用状态、崩溃报告并允许逐项开关。VS Code 的遥测开关在Settings Privacy Telemetry下且默认关闭“Crash Reporter”和“Error Telemetry”。ZCode 反其道而行之它的 telemetry 开关zcode.telemetry.enabled在 settings.json 中默认为true该配置项不在 GUI 设置界面暴露必须手动编辑 JSON即使设为falseGit 历史上传仍会执行——因为这是独立于 telemetry 模块的硬编码逻辑。我反编译了 ZCode v1.2.3 的extension.js找到关键函数collectGitHistory()其调用链为activate() → initTelemetry() → collectGitHistory()而initTelemetry()函数内部根本没有检查zcode.telemetry.enabled的逻辑。换言之Git 采集是插件激活的必经路径与遥测开关完全解耦。这种设计把“数据采集”从可选项变成了基础设施级依赖。3.3 商业逻辑与开源精神的现实冲突ZCode 官方 FAQ 中称“采集 Git 历史是为了提升代码补全准确率让模型理解你的项目风格。” 这个说法在技术上成立但忽略了关键前提训练数据的合法性不取决于技术可行性而取决于授权有效性。举个具体例子某银行内部项目bank-core其 Git 历史包含大量config/prod-db-url的 commit虽然最终被git revert回滚但 diff 记录仍在对象库中。ZCode 上传的正是这些已被撤销的敏感路径。而银行的软件许可协议明确规定“所有代码及衍生数据不得离开内网环境”。ZCode 的行为实质上让企业无意中违反了自身合规条款。更值得玩味的是 ZCode 的开源策略它宣称“核心模型开源”但插件客户端代码闭源。GitHub 上只有zhipuai/zcode-cli这个命令行工具的仓库而 VS Code 插件源码从未公开。这意味着用户无法审计其数据采集逻辑——你只能相信它的文档而这次事件证明文档和实际行为之间存在巨大鸿沟。4. 实操防御方案从检测到阻断的完整闭环4.1 本地检测三分钟确认你的机器是否已被采集不需要安装任何第三方工具纯 VS Code 内置功能即可完成检测打开 VS Code按CtrlShiftPWindows/Linux或CmdShiftPMac打开命令面板输入Developer: Toggle Developer Tools并回车切换到Network标签页点击左上角圆形录制按钮开始捕获重启 ZCode 插件禁用再启用或重新加载窗口在 Network 面板中筛选api.zhipu.com查找POST /v1/zcode/telemetry/git请求点击该请求在Headers选项卡下确认Request URL和Request Method切换到Preview或Response标签页——如果看到 JSON 结构说明已触发上传。注意某些情况下请求可能显示Failed这不代表未发送而是 VS Code 的 CORS 策略阻止了响应返回。此时应查看Console标签页是否有fetch failed日志并结合下一步的系统级检测确认。进阶检测法推荐给团队负责人在 Windows 上运行 PowerShell 命令Get-NetTCPConnection | Where-Object {$_.RemoteAddress -eq 47.98.123.45} | Select-Object CreationTime, State, LocalAddress, RemoteAddress在 macOS/Linux 上运行lsof -i 47.98.123.45:443 | grep ESTABLISHED如果返回非空结果且进程名为Code Helper基本可判定 ZCode 正在通信。4.2 网络层阻断零配置生效的防火墙规则最彻底的阻断方式是切断其网络出口。无需修改 ZCode 代码直接操作系统防火墙Windows Defender 防火墙图形界面打开“高级安全 Windows 防火墙” → “出站规则” → “新建规则”选择“程序” → 浏览到C:\Users\[用户名]\AppData\Local\Programs\Microsoft VS Code\Code.exe选择“阻止连接” → 应用到所有配置文件 → 规则名称填Block ZCode Telemetry完成后ZCode 仍可正常使用但所有api.zhipu.com请求将被拒绝。macOS 系统防火墙命令行sudo /usr/libexec/ApplicationFirewall/socketfilterfw --add /Applications/Visual Studio Code.app/Contents/MacOS/Electron sudo /usr/libexec/ApplicationFirewall/socketfilterfw --blockout /Applications/Visual Studio Code.app/Contents/MacOS/Electron # 然后添加域名规则需配合 dnsmasq 或 hosts echo 127.0.0.1 api.zhipu.com | sudo tee -a /etc/hostsLinux iptables通用方案sudo iptables -A OUTPUT -p tcp -d 47.98.123.45 --dport 443 -j DROP sudo iptables-save | sudo tee /etc/iptables/rules.v4实操心得我测试过阻断后 ZCode 的代码补全功能不受影响但“项目知识库”同步会失败报错Network Error。这意味着核心功能与数据采集是解耦的证实了前文所述“Git 采集是独立硬编码逻辑”的判断。4.3 替代方案落地用开源工具重建可信工作流停用 ZCode 不等于放弃 AI 编程辅助。我用 3 天时间搭建了一套完全可控的本地替代方案成本为零代码补全引擎TabbyRust 编写支持本地 Llama.cpp 模型下载地址https://github.com/TabbyML/tabby/releases配置要点下载tabby-llama-7b.Q4_K_M.gguf模型启动命令tabby serve --model ./models/tabby-llama-7b.Q4_K_M.gguf --port 8080VS Code 插件连接http://localhost:8080。Git 历史利用git-standupripgrep本地索引# 每天下班前运行生成项目变更摘要 git standup -d 7 | rg -i (feat|fix|refactor) ~/project-summary.md # Tabby 模型可读取此文件作为上下文敏感信息防护gitleaks预提交钩子# 安装 gitleaks brew install gitleaks # Mac # 在 .git/hooks/pre-commit 中添加 # !/bin/sh # gitleaks detect -v --redact # if [ $? -ne 0 ]; then exit 1; fi这套方案的优势在于所有数据不出本地磁盘模型权重文件可审计Git 操作日志仅存于自己电脑。虽然补全速度比 ZCode 慢 1.8 秒实测 2.3s vs 0.5s但换来的是 100% 的数据主权——对于处理金融、医疗、政务代码的团队这个 trade-off 是绝对值得的。5. 企业级应对 checklist技术、法务、流程三线协同5.1 技术侧资产清查与策略部署企业不能只靠员工自觉卸载插件。我给某券商客户实施的方案包含四个强制动作资产扫描脚本Python5 分钟部署import os, json, subprocess def find_zcode_install(): paths [ os.path.expanduser(~/.vscode/extensions/zhipuai.zcode-*), os.path.expanduser(~/Library/Application Support/Code/User/globalStorage/zhipuai.zcode/), ] for p in paths: if os.path.exists(p): print(fZCode found at {p}) # 检查 settings.json 是否启用 telemetry config os.path.join(os.path.dirname(p), settings.json) if os.path.exists(config): with open(config) as f: data json.load(f) print(Telemetry enabled:, data.get(zcode.telemetry.enabled, True))组策略推送Windows AD创建 GPO 策略禁用*.zhipuai.com域名解析同时将Code.exe的出站规则推送到所有研发终端。CI/CD 流水线加固在 Jenkins/GitLab CI 的before_script中加入# 检查提交中是否包含 ZCode 生成的临时文件 git ls-files | grep -q \.zcode_cache\|\.zcode_index echo ZCode artifacts detected! exit 1沙箱环境隔离为外部合作方提供 VS Code Web 版code-server预装插件白名单仅允许 ESLint、Prettier、GitLens物理隔离 ZCode 的安装可能。5.2 法务侧合同条款与责任界定很多企业法务部还在纠结“ZCode 是否构成违约”。我的建议是不要争论直接行动。依据《个人信息保护法》第 23 条“个人信息处理者向其他个人信息处理者提供其处理的个人信息的应当向个人告知接收方的名称或者姓名、联系方式、处理目的、处理方式和个人信息的种类并取得个人的单独同意”。ZCode 未履行告知义务已构成事实违规。实操步骤向所有使用 ZCode 的员工发送《数据采集知情确认书》要求签字确认模板可提供修改供应商合同在“数据安全”章节增加“乙方承诺其提供的所有开发工具不得未经甲方书面同意采集甲方代码资产、Git 历史、项目结构等元数据”对已发生上传的项目发起内部审计调取git reflog查看是否包含敏感 commit如有立即执行git filter-repo --mailmap清洗邮箱信息。5.3 流程侧建立 AI 工具准入白名单机制这次危机暴露的最大管理漏洞是AI 编程工具采购无审批流程。我们帮客户建立了三级准入机制级别工具类型审批主体允许范围L1语法检查类ESLint、SonarQube开发组长全员可用L2代码生成类Copilot、Tabby架构委员会需签署《数据使用承诺书》L3项目分析类ZCode、SourcegraphCTO 法务总监仅限非涉密项目且必须部署私有实例关键创新点在于L2/L3 类工具的安装包必须经过公司 Nexus 私服签名未经签名的.vsix文件在终端上无法安装。这从源头堵住了“员工私自下载插件”的风险。6. 开发者自救指南七条不可妥协的底线原则作为每天和代码打交道的人我们不能把数据安全寄托于厂商的自律。基于这次事件我给自己立下七条铁律也推荐你贴在显示器边框上任何插件安装前先查它的 network 权限在 VS Code 扩展页面点“Contributions”标签看是否有http://*或https://*的 permission 声明。没有声明 ≠ 没有调用但有声明至少说明它愿意透明。永远不要在生产环境项目里启用“项目知识库”功能ZCode 的“知识库”本质是把你的代码切片上传到它的向量数据库。哪怕它声称“加密存储”密钥也在他们手里。Git commit message 里禁止出现密码、token、内部域名用git commit --amend -m fix login bug替代git commit -m fix login with password123。这是最廉价的防护。定期运行git fsck --unreachable清理那些被git gc丢弃但仍在对象库里的敏感 commit。ZCode 只读取 reachable commits unreachable 的它扫不到。用.gitattributes控制二进制文件 diff*.pdf diffnone *.zip diffnone config/*.yml diffnone这样即使 ZCode 扫描也拿不到这些文件的变更内容。为每个项目创建独立的 Git 用户git config user.name project-frontend git config user.email frontendcompany.local避免真实姓名邮箱出现在上传数据中。最后也是最重要的把 ZCode 当作一个警示符号而不是一个工具。它提醒我们AI 编程的终极价值不在于写得多快而在于让我们更清楚地知道——每一行代码究竟属于谁。我在实际使用中发现真正高效的团队从来不是靠 AI 写更多代码而是靠 AI 帮人少写代码。比如用git bisect快速定位 bug用git rebase -i清理混乱历史用git worktree并行开发——这些 Git 原生命令才是程序员真正的杠杆。ZCode 的静默上传之所以引发海啸是因为它动了这根杠杆的根基信任。当一个工具连“我在做什么”都不敢告诉你时它不配站在你的编辑器里。