Riassunto:
Dove vengono compressi e caricati i dati dell'utente da Zhipu? Subito dopo che Zhipu si è scusato, la controversia sul "trasferimento di dati rubati" di ZCode si è trasformata in "esportazione di dati".
Interfaccia ZCode
La sera del 19 settembre, Taiyuan Chengming Technology Co., Ltd. (di seguito denominata "Chengming Technology") ha divulgato ufficialmente una lettera inviata a Beijing Zhipu Huazhang Technology Co., Ltd. (di seguito denominata "Zhipu"), rivelando ulteriori informazioni sul problema di caricamento dei dati di base del codice coinvolto in ZCode, lo strumento di programmazione AI di Zhipu, e ha dichiarato che si riserva il diritto di intraprendere ulteriori azioni legali.
Le risorse principali dell'intero progetto sono state quasi rubate?
Resta inteso che l'incidente può essere fatto risalire al 18 settembre. La mattina presto di quel giorno, ferstar, uno sviluppatore individuale, ha pubblicato sul forum tecnologico di aver trovato localmente un pacchetto compresso crittografato da 313 MB. Il file di stato mostrava che il file includeva quasi tutte le risorse principali di un progetto commerciale 10G. Tuttavia, a causa di un errore di caricamento, è rimasto bloccato localmente e ha fallito 564 volte fino a quando non è stato scoperto.
Dopo aver invertito il client ZCode, ferstar ha scoperto che quando l'utente ha effettuato l'accesso, il client genererà un'istantanea dell'area di lavoro, inclusa la cronologia completa delle versioni Git, la cache LFS, il reflog e altri contenuti, che verranno crittografati localmente e caricati su Alibaba Cloud OSS da Zhipu.
Lo sviluppatore ha inoltre affermato che la chiave pubblica RSA utilizzata nel processo di crittografia viene emessa dal server. Il pacchetto di crittografia generato localmente non può essere decompresso dall'utente o dal client stesso. Il meccanismo di caricamento è sempre attivo per impostazione predefinita e non esiste alcun interruttore nell'interfaccia client che possa effettivamente disattivarlo.
Link caricamento ZCode ripristinato da ferstar
Dopo la pubblicazione, l'articolo ha attirato rapidamente l'attenzione. Diversi utenti lo hanno riprodotto con successo secondo il metodo ferstar, confermando l'esistenza del meccanismo.
Nel pomeriggio di quel giorno, Zhipu si è scusato tramite il gruppo di utenti ZCode. Zhipu ha spiegato che il problema deriva dalla funzione "indice base codice" di ZCode, che viene utilizzata per supportare il ripristino del checkpoint della sessione, il rollback della versione storica e Repo Wiki (enciclopedia del magazzino) e altre funzioni. Repo Wiki può attivare il caricamento dei dati del magazzino durante la generazione delle pagine.
Zhipu ha dichiarato che, poiché questa funzione era abilitata per impostazione predefinita nella fase iniziale del lancio, alcuni utenti sono stati interessati, quindi siamo profondamente dispiaciuti
. Tuttavia, Zhipu ha promesso che dopo che la pagina Wiki sarà stata generata nel cloud, i relativi dati caricati verranno "distrutti immediatamente e non verranno salvati" e ha affermato che il problema pertinente è stato risolto.Zhipu ha inoltre annunciato che nel prossimo futuro renderà open source il codice base ZCode, introdurrà valutatori di terze parti per rivedere il funzionamento del sistema e fornirà a tutti gli utenti un ulteriore ripristino settimanale della quota.
ZCdoe si è scusato all'interno del gruppo utenti. Immagine dalla casa IT
Si sospetta che i dati arrivino a Singapore
Tuttavia, Chengming Technology ha messo in dubbio l'effettivo intervallo di caricamento, la direzione del flusso e il cosiddetto tempo di riparazione dei dati dello spettro intelligente.
Chengming Technology ha dichiarato nella lettera che attraverso la propria raccolta di prove tecniche, si è scoperto che dal 28 agosto al 14 settembre, più di 6 spazi di lavoro dell'azienda sono stati caricati sul cloud da ZCode, di cui quello più grande ha raggiunto una dimensione di 391,94 MB.
Inoltre, l'area di lavoro di un altro progetto di Chengming Technology è attualmente impacchettata, ma a causa di 32 caricamenti non riusciti non è stata ancora consegnata con successo al cloud Zhipu, quindi rimane localmente e non è stata eliminata. "Questa situazione è sufficiente per dimostrare che il comportamento di elaborazione della vostra azienda viene attivato automaticamente e avviene in batch e non si basa su alcun consenso espresso o implicito da parte dell'azienda."
Conto Douyin della tecnologia Chengming
Chengming Technology ha sottolineato che il contenuto caricato non era uno "snippet di codice" come lo chiamava ufficialmente Zhipu, ma un file di archivio completo, incluso il codice sorgente completo del progetto e la progettazione dell'architettura di sistema, la cronologia completa del controllo della versione (inclusi invii storici e registri di riferimento cancellati), password del database, chiavi di interfaccia, credenziali e certificati del servizio cloud, informazioni personali di dipendenti e utenti finali, nonché piani di ricerca e sviluppo e piani aziendali non divulgati, che superano di gran lunga l'ambito di raccolta indicato nella "Privacy di ZCode". Politica".
Allo stesso tempo, Chengming Technology ha anche rivelato un problema relativo al flusso effettivo di dati.
Chengming Technology ha scoperto che
tutte le richieste di rete dal client ZCode sono indirizzate ai nomi di dominio zcode.z.ai e cdn-zcode.z.ai
. Secondo la parte contraente e titolare del trattamento dei dati personali della piattaforma Z.AI, JINGSHENG HENGXING TECHNOLOGY PTE.LTD è registrata a Singapore. L'informativa sulla privacy afferma inoltre che "i servizi sono solitamente forniti da Singapore" e "i tuoi dati personali sono solitamente trattati a Singapore".Secondo il prospetto di Zhipu sulla Borsa di Hong Kong, JINGSHENG HENGXING è una consociata indirettamente controllata al 100% da Zhipu registrata a Singapore nel novembre 2023. Nella versione inglese di ZCode, è chiaro nel suo accordo e nella politica sulla privacy che JINGSHENG HENGXING fornisce servizi ed è responsabile del trattamento dei dati. Tuttavia, la versione cinese del contratto d'uso ZCode prevede che il fornitore del servizio sia "Beijing Zhipu Huazhang Technology Co., Ltd." e l'informativa sulla privacy prevede inoltre che il responsabile del trattamento dei dati sia "Beijing Zhipu Huazhang".
L'accordo sulla privacy cinese ZCode menziona inoltre che tutte le informazioni personali raccolte e generate dalla Cina nelle sue operazioni in Cina sono archiviate all'interno della Cina e non saranno trasferite o archiviate oltre confine. Se è necessaria la trasmissione o l'archiviazione transfrontaliera, l'utente sarà informato in anticipo e sarà ottenuto il suo consenso, tranne nei casi in cui la notifica non è richiesta dalla legge.
Accordo sulla privacy del codice Z
Pertanto, Chengming Technology richiede a Zhipu di spiegare l'oggetto effettivo del trattamento dei dati di ZCode e se vi è una trasmissione transfrontaliera o un'archiviazione all'estero.
Inoltre, nella lettera pubblica, Chengming Technology ha anche presentato 11 richieste importanti a Zhipu, tra cui l'interruzione dell'elaborazione dei dati pertinenti, l'eliminazione dei dati caricati e dei backup della cache, la divulgazione dei record di elaborazione e accesso dei dati, la spiegazione se sono condivisi con terze parti o utilizzati per l'addestramento del modello e la fornitura di certificati di eliminazione, ecc., e richiede a Zhipu di rispondere per iscritto prima del 10 ottobre.
Al momento, Zhipu non ha dato alcuna ulteriore risposta alla lettera di Chengming Technology. Tuttavia, ZCode ha rilasciato la versione 3.14.0 il 19 settembre e il registro degli aggiornamenti menziona chiaramente che "il problema del caricamento anomalo dell'enciclopedia del magazzino è stato risolto".
Commenti