21世纪经济报道记者 陈归辞
9月18日，有开发者发现，智谱AI编程工具ZCode在用户不知情的情况下 ，将其全量Git历史静默上传至阿里云OSS ，事件在开发者社区引发一片哗然。智谱当日在官方ZCode用户群中致歉，但风波并未平息 。
9月20日晚间 ，智谱又紧急在“智谱开放平台 ”微信公众号上宣布 ，其MaaS平台将于近期上线数据内容不留存功能 。
智谱称，该机制旨在减少模型调用内容在平台侧的持久化留存。任何用户均可以申请开通 ，生效后 ，智谱MaaS平台不会对用户的输入和输出进行静态存储，数据仅用于完成当次模型调用。
智谱同时强调 ，该功能并不意味着任何情形下都不留存数据 。Batch API 、File API等需要在平台侧持久化保存任务或文件的功能不在上述覆盖范围内；此外 ，在法律法规要求留存，或为核查涉嫌违规或滥用行为的情况下 ，平台可能按有关要求留存相关数据30天及以上 。
这场风波始于个人开发者ferstar在9月18日凌晨的一篇帖子。其发现ZCode将一个10GB的项目打包加密成313MB的压缩包 ，其中“几乎全是核心资产” 。状态显示，该压缩包曾被尝试上传但失败564次，因此留在了本地 。
经过逆向分析 ，ferstar发现 ，只要用户处于登录状态，ZCode桌面端就会在后台静默把整个工作区加密打包 ，包括完整的．git历史 、LFS大文件缓存、reflog以及全局应用配置 ，并将其直接上传到阿里云OSS。
“更讽刺的是：加密用的RSA公钥是服务端动态下发的，私钥只存在云端 。你本地生成的那份几百兆的密文 ，连你自己和客户端本体都解不开 。”ferstar称。
两个月前 ，xAI编程工具Grok Build被发现将用户整个Git仓库打包上传至谷歌云存储，引发开发者社区激烈反应后 。类似事件如今又发生在智谱编程工具ZCode身上 ，有分析人士认为 ，其或意在拿用户数据训练自家模型 。这再度引发用户对于数据隐私与安全的担忧。
当天，智谱在官方ZCode用户群致歉 ，承认“Repo Wiki功能在生成Wiki页面时可能会触发仓库数据上传 ” ，但上传的数据会在Wiki页面于云端生成后立即销毁 。智谱称，相关问题已经修复，并提出相应弥补方案 ，包括开源ZCode代码库、请第三方审查 、为全体ZCode用户提供一次周额度重置 。
然而 ，道歉未换来相关争议的平息。许多用户对未经用户同意上传用户数据的行为表达质疑与谴责，也有用户认为其道歉内容避重就轻 ，“用户想看到的 ，是真正对数据的把关 、对隐私的保护 ”。据记者了解，近来 已有公司在内部停用ZCode 。
直到宣布上线数据不留存机制 ，开发者社区认为智谱依然没有回答的问题是 ，上传的数据是否曾用于模型训练？此前云端究竟留存了什么？已上传至云端的历史数据是否已被彻底清除？
9月21日早间，智谱开源了ZCode ，并称完成整改后 ，中国信息通信研究院和绿盟科技已完成安全审计，确认 zcode-prod （阿里云对象存储OSS） 内全部数据对象及存储桶本身已删除 。ZCode v3.14.0 客户端已完成整改 ，Repo Wiki 入口及相应生成链路已移除 ，未发现可触发本地仓库快照或文件外发的功能路径。智谱还承诺代码数据无留存，也从未将其用于模型训练 。
