Este incidente revela una grave violación de la privacidad y la seguridad de los datos por parte de la aplicación ZCode de Zhipu AI. La causa raíz es una decisión de diseño arquitectónico que prioriza la exfiltración de datos sobre el control del usuario y la transparencia. La aplicación, sin el consentimiento explícito y sin opciones de desactivación efectivas, empaqueta y sube silenciosamente el workspace completo de un usuario, incluyendo el historial de Git (que puede contener información sensible como claves API antiguas, nombres de ramas no publicadas y configuraciones internas), a Aliyun OSS.
La salvaguarda principal que falló fue la confianza del usuario y la expectativa de que las aplicaciones de desarrollo respeten la privacidad del código. La implementación de "envelope encryption" es engañosa; aunque el contenido se cifra, la clave privada para descifrarlo reside exclusivamente en los servidores de Zhipu. Esto no es un mecanismo de respaldo o sincronización para el usuario, sino una forma de asegurar que Zhipu pueda acceder a todo el código del usuario en cualquier momento. Las opciones de UI que supuestamente controlan la recopilación de datos son ineficaces, ya que el código base demuestra que el proceso de captura y subida se inicializa incondicionalmente mientras el usuario está logueado.
La falta de mención de esta funcionalidad en la política de privacidad agrava la situación, indicando una falta de transparencia intencionada. La persistencia del cliente en volver a empaquetar y subir los datos, incluso después de que el usuario intente eliminarlos manualmente, subraya la naturaleza intrusiva y no controlable de esta característica. Este incidente es un ejemplo claro de cómo las aplicaciones pueden abusar de los permisos y la confianza del usuario para recopilar datos más allá de lo que se comunica o se espera, con implicaciones significativas para la propiedad intelectual y la seguridad.