Инструмент ZCode скрыто загружает историю Git в облако

Разработчики обнаружили, что ZCode выполняет скрытую передачу данных из рабочей директории пользователя на внешние серверы. В процессе работы инструмент автоматически отправляет содержимое всего проекта, включая полную историю .git и кэш LFS, в облачное хранилище Aliyun OSS.

Передача данных происходит без явного уведомления пользователя. Для шифрования файлов используются ключи, предоставляемые сервером, что делает локальный доступ к данным невозможным после завершения процесса. Анализ сообщества подтверждает, что инструмент фактически лишает разработчика контроля над исходным кодом и историей версий, перенося их в закрытый контур стороннего облачного провайдера.

Использование подобных механизмов в инструментах для разработки создает критические риски для безопасности интеллектуальной собственности. Передача истории коммитов может привести к утечке чувствительных данных, включая ключи доступа, токены и внутреннюю логику приложений, которые часто остаются в истории репозитория даже после их удаления из текущей версии файлов.

Данный инцидент подчеркивает необходимость тщательной проверки прав доступа и сетевой активности AI-инструментов, интегрируемых в среду разработки. Эксперты рекомендуют изолировать подобные утилиты в контейнерах с ограниченным доступом к сети или использовать инструменты с открытым исходным кодом, прошедшие аудит безопасности.