Un asistente de codificación cargaba silenciosamente proyectos completos, incluido el historial de Git

Un desarrollador llamado Ferstar desmanteló ZCode, el asistente de codificación del laboratorio chino Z.ai, y descubrió que hacía algo con lo que nadie había aceptado. Al iniciar sesión, la aplicación empaquetó toda la carpeta de trabajo del usuario, incluido el historial completo de .git, el caché de archivos grandes, los registros y la configuración global de la aplicación, cifró el paquete y lo cargó en el almacenamiento en la nube de Alibaba. La instalación examinada produjo un archivo de 313 MB que cubría 42.411 archivos, de los cuales los objetos Git representaban el 86,6 por ciento, y registró 564 intentos fallidos de publicarlo. La función estaba activada de forma predeterminada y no había forma de desactivarla.

El cifrado es la parte que la gente de seguridad encuentra más incómoda. La clave privada coincidente se encuentra solo en la nube de Z.ai, por lo que ni el usuario ni el cliente ZCode pueden abrir el blob de 313 MB en el propio disco del usuario. Si quieres saber qué quedó de tu máquina, tienes que preguntar a la empresa que se la llevó. Z.ai atribuyó el comportamiento a una función de “indexación de base de código” que estaba habilitada de forma predeterminada, se disculpó, dijo que había solucionado el problema de consentimiento y afirmó que los datos cargados habían sido destruidos. El lunes fue más allá y lanzó el código de escritorio, web y de línea de comandos de ZCode bajo la licencia Apache 2.0 para que los desarrolladores puedan auditar el cliente por sí mismos.

¿Qué hay detrás de esto?

Indexar su código es algo realmente útil para un asistente. Si una herramienta ha leído su proyecto, puede responder preguntas sobre su proyecto en lugar de sobre la programación en general, y todo asistente de codificación serio hace alguna versión de esto. El fracaso aquí no fue la idea, sino tres opciones superpuestas: sin solicitud de consentimiento, sin interruptor de apagado y un alcance mucho más amplio que el trabajo requerido. El historial de Git no es el código fuente en el que estás trabajando actualmente. Son todos los cambios realizados por alguien, que a menudo incluyen secretos que se cometieron por accidente hace años y se eliminaron de los archivos actuales, pero nunca del historial. Ése es exactamente el material que menos le gustaría entregar a un tercero por sorpresa.

Abrir el abastecimiento al cliente es una remediación real y también limitada. Permite a cualquiera verificar lo que envía el programa a partir de ahora. No puede verificar lo que un servidor ya recibió o si fue eliminado, por lo que la palabra de la empresa sigue siendo la única prueba al respecto.

Qué significa esto para ti: Vale la pena hacerlo hoy si utilizas cualquier herramienta de codificación de IA, gratuita o de pago: busca su configuración y busca cualquier cosa que se describa como indexación, sincronización del espacio de trabajo o telemetría, y decide deliberadamente en lugar de hacerlo de forma predeterminada. Trate el historial de Git como confidencial, porque lo es. Y si una herramienta no ofrece forma de desactivar una función de datos, esa ausencia es en sí misma la respuesta sobre cómo piensa el proveedor. Nada de esto es un problema específico de China, es un problema de configuración predeterminada y vale la pena ejecutar la misma auditoría en herramientas desde cualquier lugar.

Fuentes

• Tom’s Hardware: los desarrolladores dicen que una empresa china de inteligencia artificial subió silenciosamente cientos de megabytes de datos del espacio de trabajo local
• Ferstar: Dentro de ZCode, cargando silenciosamente todo tu historial de Git en la nube
• The Standard: ZCode de código abierto de Z.AI después de que la herramienta de codificación carga datos locales de forma silenciosa