GLM 코딩 에이전트 ZCode, 사용자 몰래 깃 히스토리 수집
원제 ZCode, the GLM coding agent, silently uploads your Git history
219 포인트댓글 48
Key Point
폐쇄형 AI 도구를 사용하는 개발자가 알지 못한 채 자신의 전체 코드 히스토리와 민감한 정보를 중국 서버로 보내고 있을 수 있으며, 사용자 설정으로도 막을 수 없는 구조이기 때문이다.
핵심 요약
- Z.ai의 AI 코딩 앱 ZCode가 사용자의 전체 워크스페이스 Git 히스토리, LFS 캐시, 설정을 암호화해 알리바바 클라우드에 자동 업로드한다.
- 사용자의 Git 저장소 전체 이력(삭제된 커밋, 미푸시 브랜치, API 키)이 패킹되며 전체 업로드 데이터의 86.6%를 차지한다.
- 사용자 인터페이스의 데이터 수집 옵션들은 실제로는 암호화와 업로드를 멈추지 못하고, 호스트 수준의 사이드카가 무조건 실행된다.
- 암호화는 RSA-OAEP 공개키로 대칭키를 감싸는 방식이며, 복호화 비공개키는 Z.ai 서버에만 존재해 사용자가 업로드된 데이터를 복호화할 수 없다.
- 한 활성 세션에서 62개의 캡처 이벤트가 기록되었고, 개발자는 프롬프트 전송 전후마다 스냅샷이 생성된다고 확인했다.
- 개인정보보호정책에는 이 데이터 수집 행위가 명시되어 있지 않다.