在涉及智谱的最近一场争议里，真正被关注的并不是模型本身，而是它旗下的编程辅助客户端ZCode。9月18日之后有开发者发现，用户在完成登录后，这一工具会在后台把整个代码文件夹整体加密，连同一套完整的Git版本记录，一并悄悄发往服务器。由此引发的讨论，集中指向数据到底该不该离开开发者的机器。
先分清：被质疑的是应用层，而非GLM权重
有一点必须先说明，否则后续讨论容易被带偏。智谱放在HuggingFace上、走MIT协议的GLM系列开放权重（例如GLM-5.3）并未受到波及；争议中心是官方那个闭源编程应用ZCode——装上并登录之后，你的仓库就可能被交出去，而这个客户端并不允许外部审查源码。把“智谱开放权重”与“ZCode上传了仓库”当成同一件事，是这场风波中最常见的误会。
四天演进：从开发者爆料到产品开源
起步于开发者ferstar的逆向下手分析。他给出的结论是：ZCode处于已登录状态时，会把用户的工作区整体加密，直接传到阿里云的OSS上；而用来解密的私钥只保存在云端，本地的人根本没有办法还原自己的存档。智谱当天便发出致歉，把原因归结为“代码库索引”这一功能被默认为开启，并说明这些数据只是拿去生成RepoWiki，随后就会被清掉。
随后太原承明科技发来正式书面函件，就三个问题要说法：数据如何删除、私钥谁来保管、是否存在数据出境，并保留了起诉的权利。该公司提供的证据显示，道歉当天的凌晨仍能看到上传行为；被传走的内容里有源码、架构信息、数据库口令、云服务凭证以及员工资料，已超出隐私政策所涵盖的范围；其中单个最大的工作区达到410MB。
再往后，智谱对外宣布MaaS平台增加“数据内容不留存”能力，并表态会把ZCode开源，同时请来中国信通院与绿盟科技做安全层面审查。澎湃新闻了解到，ZCode已完成正式开源，整改收尾，审计也落了地。智谱股价随之转红，盘中一度上行超过3%，最终收在794港元。据了解，一度有近400名对此敏感的开发者组成群组进行维权。
上传的到底是什么：拆包数据最扎眼
依据ferstar的拆包结果，被上传的那份快照中有86.6%落在.git目录里，其中LFS缓存占56.8%、objects占29.6%。这代表走掉的不光是眼前这份代码，而是贯穿整个开发过程的版本历史——已撤掉的API密钥、还没推上远端的分支、写在.git/config里的内网主机地址，都在其中。
调用频次也值得留意：在一段活跃会话里出现了62次采集动作，时间点落在每条prompt发出之前以及任务收尾之际。有个workspace里有42411个文件，最终被压缩成313MB的归档。更要紧的是，负责信封加密的RSA密钥只有Z.ai一方掌握，连用户自己都打不开属于自己的归档。
要说清楚的是，AI编程工具读取本地代码原本就是常规做法，这类产品基本都是这样运转的。真正的要害在于三点：数据究竟有没有跑到机器之外、跑出去后拿来做什么、被保留多长时间。ZCode让外界不放心的，恰恰就是“已经离开本机”这道环节。
为何此事的行业分量不轻
从表面看属于交互设计上的疏漏，往深处看，则是AI编程这个方向共存的合规与伦理欠账。“默认打开”这种情况并不是智谱一家的毛病——浏览器的同步、手机上的权限申请，整个软件行业都是在一轮轮争论中慢慢把口子收紧。但涉及代码的场景，对“事先知情与可自主选择”的要求只会高出普通应用一截。
再往深一层看是信任问题：AI编程工具正从“打个下手”转向“企业生产系统的一环”。这个进程能推进多快，取决于企业对数据安全到底有多少底气。一次默认开启、悄无声息的上传，透支的却是整条赛道的企业级信任。
这件事也反过来说明开放路线为何被看重：采用GLM的开放权重，配合自行托管的开源harness，与此次闭源客户端的快照管道并没有直接牵连——数据自始至终留在使用方手里。问题出在产品层面恰恰说明，“客户端能不能被外部审计”才是真正的分界线。
给开发者的三条建议
第一，包含密钥、凭证、内网信息的高敏仓库，短期内先不要放进闭源AI编程客户端；等ZCode开源之后，看清审计结论再作判断。
第二，如果确实要用AI编程，优先选择“开放权重＋自托管harness”的组合，让数据不必离开本机，从源头上绕开这种快照式风险。
第三，紧盯智谱开源之后信通院以及绿盟所作的审查意见，对照“是否真的不留存、私钥有没有交还、是否存在跨境传输”逐个去核实。
小结：智谱这一轮吃亏的地方并不在技术，而在于把索引当成普通功能处理、没有按照数据出域的标准走安全评审就默认开启。对AI圈来说，开放权重跑得再快，如果产品层的信任守不住，用户很可能只给你一次机会。
信息综合自澎湃新闻、中国新闻周刊、经济观察报、网易以及开发者ferstar的逆向分析，2026-09-22整理。