Resumo:
Onde os dados do usuário são empacotados e carregados pela Zhipu? Logo depois que Zhipu se desculpou, a controvérsia sobre a “transferência de dados roubada” do ZCode se transformou em “exportação de dados”.
Interface ZCode
Na noite de 19 de setembro, Taiyuan Chengming Technology Co., Ltd. (doravante denominada "Chengming Technology") divulgou oficialmente uma carta enviada a Beijing Zhipu Huazhang Technology Co., Ltd.
Os principais ativos de todo o projeto quase foram roubados?
Sabe-se que o incidente pode ser rastreado até 18 de setembro. Na madrugada daquele dia, ferstar, um desenvolvedor individual, postou no fórum de tecnologia que encontrou um pacote compactado criptografado de 313 MB localmente. O arquivo de status mostrou que incluía quase todos os ativos principais de um projeto comercial 10G. No entanto, devido a uma falha no upload, ele travou localmente e falhou 564 vezes até ser descoberto.
Depois de reverter o cliente ZCode, ferstar descobriu que quando o usuário estiver logado, o cliente irá gerar um instantâneo do espaço de trabalho, incluindo o histórico completo da versão Git, cache LFS, reflog e outros conteúdos, que serão criptografados localmente e carregados no Alibaba Cloud OSS por Zhipu.
O desenvolvedor também mencionou que a chave pública RSA usada no processo de criptografia é emitida pelo servidor. O pacote de criptografia gerado localmente não pode ser descompactado pelo usuário ou pelo próprio cliente. O mecanismo de upload está sempre ativado por padrão e não há nenhuma opção na interface do cliente que possa desativá-lo.
Link de upload do ZCode restaurado por ferstar
Depois que o artigo foi publicado, ele rapidamente atraiu a atenção. Vários usuários o reproduziram com sucesso de acordo com o método ferstar, confirmando a existência do mecanismo.
Na tarde daquele dia, Zhipu pediu desculpas por meio do grupo de usuários do ZCode. Zhipu explicou que o problema decorre da função de “índice base de código” do ZCode, que é usada para oferecer suporte à recuperação de pontos de verificação de sessão, reversão de versão histórica e Repo Wiki (enciclopédia de armazém) e outras funções. O Repo Wiki pode acionar o upload de dados do warehouse ao gerar páginas.
Zhipu afirmou que como esta função foi habilitada por padrão na fase inicial do lançamento, alguns usuários foram afetados, por isso lamentamos profundamente
. No entanto, Zhipu prometeu que depois que a página Wiki for gerada na nuvem, os dados relevantes carregados serão "destruídos imediatamente e não serão salvos", e disse que o problema relevante foi corrigido.Zhipu também anunciou que abrirá o código-fonte da base de código ZCode em um futuro próximo, apresentará avaliadores terceirizados para revisar a operação do sistema e fornecerá a todos os usuários uma redefinição de cota semanal adicional.
ZCdoe pediu desculpas dentro do grupo de usuários. Foto da página inicial de TI
Suspeita-se que os dados estejam fluindo para Singapura
No entanto, a Chengming Technology questionou o alcance real de upload, a direção do fluxo e o chamado tempo de reparo dos dados do espectro inteligente.
A Chengming Technology afirmou na carta que através de sua própria coleta de evidências técnicas, foi descoberto que de 28 de agosto a 14 de setembro, mais de 6 espaços de trabalho da empresa foram carregados na nuvem pelo ZCode, sendo que o maior deles atingiu 391,94 MB de tamanho.
Além disso, o espaço de trabalho de outro projeto da Chengming Technology está atualmente empacotado, mas devido a 32 falhas de upload, ele ainda não foi entregue com sucesso à nuvem Zhipu, portanto permanece localmente e não foi excluído. “Esta situação é suficiente para provar que o comportamento de processamento da sua empresa é acionado automaticamente e ocorre em lotes, e não tem como premissa qualquer consentimento expresso ou implícito da empresa.”
Conta Douyin da Tecnologia Chengming
Chengming Technology apontou que o conteúdo enviado não era um "trecho de código", como Zhipu o chamou oficialmente, mas um arquivo completo, incluindo o código-fonte completo do projeto e o design da arquitetura do sistema, histórico completo de controle de versão (incluindo envio histórico excluído e logs de referência), senhas de banco de dados, chaves de interface, credenciais e certificados de serviço em nuvem, informações pessoais de funcionários e usuários finais, bem como planos de P&D e planos de negócios não divulgados, que excedem em muito o escopo de coleta declarado na "Política de Privacidade ZCode".
Ao mesmo tempo, a Chengming Technology também revelou um problema com o fluxo real de dados.
A Chengming Technology descobriu que
todas as solicitações de rede do cliente ZCode são direcionadas para os nomes de domínio zcode.z.ai e cdn-zcode.z.ai
. De acordo com o contratante e controlador de dados pessoais da plataforma Z.AI, a JINGSHENG HENGXING TECHNOLOGY PTE.LTD está registrada em Cingapura. A política de privacidade também afirma que “os serviços são geralmente fornecidos em Singapura” e “seus dados pessoais são geralmente processados em Singapura”.De acordo com o prospecto da Zhipu na Bolsa de Valores de Hong Kong, a JINGSHENG HENGXING é uma subsidiária integral indireta da Zhipu registrada em Cingapura em novembro de 2023. Na versão em inglês do ZCode, fica claro em seu contrato e política de privacidade que a JINGSHENG HENGXING fornece serviços e é responsável pelo processamento de dados. No entanto, a versão chinesa do Contrato de Usuário ZCode estipula que o provedor de serviços é "Beijing Zhipu Huazhang Technology Co., Ltd." e a política de privacidade também estipula que o processador de dados é "Beijing Zhipu Huazhang".
O acordo de privacidade chinês ZCode também menciona que todas as informações pessoais coletadas e geradas pela China em suas operações na China são armazenadas na China e não serão transferidas ou armazenadas através da fronteira. Caso seja necessária a transmissão ou armazenamento transfronteiriço, o utilizador será notificado previamente e será obtido o seu consentimento, exceto nos casos em que a notificação não seja exigida por lei.
Acordo de privacidade do ZCode
Portanto, a Chengming Technology exige que Zhipu explique o assunto real do processamento de dados do ZCode e se há transmissão transfronteiriça ou armazenamento no exterior.
Além disso, na carta pública, a Chengming Technology também fez 11 solicitações importantes à Zhipu, incluindo a interrupção do processamento de dados relevantes, a exclusão de dados carregados e backups de cache, a divulgação de processamento de dados e registros de acesso, a explicação se eles são compartilhados com terceiros ou usados para treinamento de modelo e o fornecimento de certificados de exclusão, etc., e exige que a Zhipu responda por escrito antes de 10 de outubro.
Atualmente, Zhipu não respondeu à carta da Chengming Technology. No entanto, o ZCode lançou a versão 3.14.0 em 19 de setembro, e o log de atualização menciona claramente que “o problema de upload anormal da enciclopédia do warehouse foi corrigido”.
Comentários