AI编程狂飙，安全跟得上吗？

一场有关“上传代码”的隐私风波，将中国大模型巨头智谱卷上了舆论的风口浪尖。

此前有社交媒体爆料称，智谱(2513.HK)旗下AI编程工具ZCode会未经用户许可“静默上传”其编程开发数据至第三方云服务器。有技术博主发帖称，只要登录ZCode账号，软件就会在后台把用户整个项目工作区连同完整的背后信息文件夹打包加密后传至云端，打包文件中“几乎全是核心资产”。

还有开发者发现，即便在ZCode的设置界面手动关闭数据上传开关，后台进程仍在持续上传数据。

事件在开发者群体中引发广泛关注。9月18日，智谱迅速发布声明回应：有关数据隐私的争议，源于ZCode一个名为“代码库索引”的功能——该功能上线后即为默认开启状态；智谱同时表示，上传的数据仅用于在云端生成RepoWiki(代码仓库知识库)页面，随后即被销毁，不予保存。公司已就此向受影响用户致歉，并表示后续将开源ZCode代码库。

9月21日，澎湃新闻记者独家获悉，ZCode宣布正式开源。针对此前暴露的问题，智谱在完成整改后邀请中国信息通信研究院和绿盟科技开展安全审计，目前安全整改已经完成，并表示愿意持续接受外界监督。

“默认开启”为行业普遍现象

9月19日，太原承明科技有限公司正式向北京智谱华章发出函件，要求其就数据删除、私钥保管及是否发生跨境传输等问题作出书面说明，并保留索赔与诉讼权利。承明科技称，经公司技术部门独立取证确认，ZCode的上传行为系自动触发、批量发生，所涉数据远不止普通“代码片段”，而是包含项目完整源代码、系统架构设计、版本控制全量历史、数据库访问口令、云服务权限凭证及员工个人信息等在内的完整归档文件，明显超出了ZCode《隐私政策》载明的收集范围。

复盘此次争议，背后的核心原因在于“默认开启的代码库采集功能”。快思慢想研究院院长、特邀评论员田丰向澎湃新闻记者介绍，这是行业普遍现象，并非某一家公司的产品疏漏。

他分析，这类设计大概率并非出于恶意收集数据的动机，而是产品团队在功能设计时把"索引数据"当成了普通产品特性，没有按照数据出域的规格去走安全评审流程。

人工智能研究者、天使投资人郭涛则向记者表示，此事表面是产品交互设计疏漏，背后折射出AI编程赛道普遍存在的合规伦理短板。在赛道高速扩张阶段，厂商优先迭代产品能力，把功能落地置于数据安全之前，许多产品的默认配置倾向于最大化获取本地项目数据，以降低AI读取代码的使用门槛，将数据选择权后置交给用户。

类似情况并非只在国内发生：此前OpenAI Codex CLI就曾被安全研究机构Backslash曝光——攻击者在项目AGENTS.md配置文件中嵌入指令，Agent在非交互执行模式下会悄无声息地将开发者本地密钥信息发送出去，而终端输出看起来完全正常。配置文件和索引流程被默认信任，却没有获得与代码本身同等级别的审计，是这一工具品类目前普遍存在的空白。

一位AI从业者告诉记者，相较于人工编写代码，AI生成代码的安全隐患具有特殊性：首先，模型输出存在概率性，会无意识带出训练集中泄露的密钥、接口凭证，造成隐性数据搬运；其次，AI批量生成代码速度快，漏洞被规模化输出，企业很难依靠传统人工评审完成校验；再者，Agent具备自动执行能力，一旦拿到项目权限，便可批量修改文件，若被恶意利用，对生产系统的破坏力远高于普通开发工具。

在郭涛看来，目前多数厂商并没有把最小必要原则前置到产品立项阶段，默认上传数据并非个案；同时行业缺少统一落地标准，对本地索引与云端上传的边界界定模糊，厂商自主裁量空间很大。该矛盾不会仅仅局限于单家企业，随着越来越多企业开发人员采用AI编程工具，若行业不主动规范产品默认策略，同类数据隐私争议还会持续爆发。

海内外AI编程安全隐患频发

值得注意的是，AI Coding(AI编程)领域频频被曝出安全隐患，在海内外都不鲜见，AI编程的核心是利用人工智能技术和工具来辅助或自动化软件开发过程。

此前，工业和信息化部网络安全威胁和漏洞信息共享平台(NVDB)监测发现，AI编程工具Claude Code存在安全后门隐患，危害严重。Claude Code是美国Anthropic公司开发的AI编程工具，可根据文字需求自主完成代码编写、修复等工作。由于其内置监控机制，未经用户同意即可向远程服务器回传用户地域、身份标识等敏感信息，受影响的Claude Code版本为2.1.91至2.1.196。

GitHub则宣布，自4月24日起，CopilotFree、Pro和Pro+用户的输入、输出、代码片段及相关上下文，默认可用于模型训练和改进，用户可在设置中选择退出。

Cursor也披露其代码库索引功能默认开启，会扫描用户打开的代码目录，并将代码库索引信息同步至服务器。此外，Cursor此前还修复过一起高危逻辑漏洞——恶意Agent可通过修改文本文件绕过原有保护规则，读取本应被排除的敏感文件。

据业内人士向澎湃新闻记者介绍，现行《个人信息保护法》《数据安全法》明确要求数据收集遵循最小必要、同意原则，不能在用户不知情的情况下过度采集数据，商业源码也属于受保护的商业秘密。

但难点在于：AI桌面客户端不同于传统手机App，缺乏像移动端App那样常态化的上架前检测机制。软件打包分发后，客户端底层行为藏在二进制代码内部，普通用户很难自行发现静默上传逻辑，监管也难以主动穿透、提前发现这类隐蔽的客户端后门，大多只能等到事件曝光之后才介入核查，属于事后追责模式。

这也意味着，AI时代，新型产品的数据隐私与入口安全问题，已成为行业面临的最新挑战。

9月20日深夜，智谱MaaS(模型即服务)平台宣布，将上线“数据内容不留存”功能。生效后，用户输入和输出的数据仅用于完成当次模型调用，不做静态存储。

建投通信研报认为，对于金融、政企、代码等高敏感场景，客户真正关注的是原始Prompt、模型Output和代码是否会在平台侧长期保存。此次MaaS进一步提供数据不留存选项，相当于从制度承诺升级为产品级能力，有望降低大客户采购API和Agent产品时的数据合规门槛。

审计与安全披露应实现常态化

站在产业长期健康发展的角度，田丰认为国内AI编程生态应当确立两条基础共识：数据采集默认关闭、需用户主动确认；审计与安全披露常态化。这需要头部厂商、企业客户和监管方共同参与，无法单靠个别企业的自我约束完成。

他表示，行业共识可借鉴此前几代计算范式走过的路径：从默认信任逐步过渡到默认最小权限。从大型机到PC互联网，再到移动互联网，每一代计算范式早期通常都是默认开放，出问题后再逐步收紧权限；操作系统和浏览器之所以能发展出今天的权限弹窗、沙箱隔离机制，也是经历多轮安全事件后才逐渐定型。AI编程工具眼下正处于类似的早期阶段，行业主动把这条经验前置，能够减少重复付出同样的学习成本。

田丰建议，可考虑将涉及源代码、密钥等企业级敏感数据的自动采集功能，纳入现行数据合规监管框架的延伸适用范围，参照个人信息保护领域已经确立的“默认关闭、显式同意”原则，对同类企业数据场景给出对应合规指引；同时鼓励建立行业层面的事件响应时限规范和常态化审计公示机制，形成一条统一、可预期的合规路径以证明整改到位，减少企业各自应对时的重复成本，也减少用户单纯依靠自行监测才能发现问题的局面。

郭涛向澎湃新闻记者表示，未来一至两年，AI编程工具赛道最值得警惕的重大安全事件，并非单纯的代码泄露，而是借助编程智能体作为跳板入侵企业内部生产环境。AI编程工具深度对接企业代码仓库与内网开发环境，一旦权限管控失效，恶意指令便可驱动工具批量读取仓库密钥、配置文件，自动完成代码修改、提交部署，形成自动化攻击链路。

其次是供应链层面风险：大量企业复用AI生成组件，模型内置的隐性漏洞会通过开源代码快速扩散至成千上万企业系统，形成跨企业的群体性安全事故。不同于普通大模型对话内容泄露，编程智能体风险直接传导至生产业务，事件一旦爆发，造成的产业损失和影响范围将显著大于普通大模型安全事故。

（澎湃新闻）