2026년 9월 19일 (토).

핵심 요약

• 기술 업계가 패스키를 완벽한 로그인 솔루션으로 홍보하지만, 개인 사용자에게는 여전히 문제가 많다.
• 하드웨어 키는 백업이 불가능하고 계정당 25~300개 한계가 있어 여러 키를 구매해야 하는 비용 문제가 있다.
• Apple과 Google의 동기화된 패스키는 해당 계정이 정지되면 모든 제3자 계정의 패스키에 접근할 수 없게 된다.
• Bitwarden 같은 제3자 패스워드 매니저의 패스키 지원은 아직 UX가 불완전하고 브라우저 외부에서 특히 일관성이 떨어진다.
• 동료 컴퓨터 접근, Bluetooth 연결 실패 등 현실적인 상황에서 패스키는 작동하지 않는 경우가 많다.
• 현재로선 무작위 생성 비밀번호+제3자 매니저+독립 TOTP 앱 조합이 개인 사용자에게 더 나은 선택이다.

핵심 요약

• Z.ai의 AI 코딩 앱 ZCode가 사용자의 전체 워크스페이스 Git 히스토리, LFS 캐시, 설정을 암호화해 알리바바 클라우드에 자동 업로드한다.
• 사용자의 Git 저장소 전체 이력(삭제된 커밋, 미푸시 브랜치, API 키)이 패킹되며 전체 업로드 데이터의 86.6%를 차지한다.
• 사용자 인터페이스의 데이터 수집 옵션들은 실제로는 암호화와 업로드를 멈추지 못하고, 호스트 수준의 사이드카가 무조건 실행된다.
• 암호화는 RSA-OAEP 공개키로 대칭키를 감싸는 방식이며, 복호화 비공개키는 Z.ai 서버에만 존재해 사용자가 업로드된 데이터를 복호화할 수 없다.
• 한 활성 세션에서 62개의 캡처 이벤트가 기록되었고, 개발자는 프롬프트 전송 전후마다 스냅샷이 생성된다고 확인했다.
• 개인정보보호정책에는 이 데이터 수집 행위가 명시되어 있지 않다.

핵심 요약

• Zhipu의 AI 코딩 앱 ZCode는 사용자가 로그인한 상태에서 작업 폴더 전체를 자동으로 Aliyun OSS에 암호화하여 업로드한다.
• 업로드되는 데이터의 87%가 .git 디렉토리이며, 커밋 이력, 삭제된 민감정보, 미푸시 브랜치명, 내부 GitLab 경로 등이 포함된다.
• RSA 공개키는 서버에서 동적 배포되고 개인키는 클라우드에만 존재해, 로컬의 313MB 암호화 파일을 사용자나 클라이언트도 복호화할 수 없다.
• UI의 '데이터 수집 비활성화' 토글은 모델 학습 승인만 제어할 뿐, 스냅샷 캡처와 업로드는 계속 진행된다.
• 조사 결과 업로드 실패 기록이 564건으로 남아 있으며, 클라이언트는 ZCode 서버를 거치지 않고 직접 Aliyun OSS에 폼 포스트 방식으로 전송한다.