Аннотация:
Где данные пользователя упаковываются и загружаются Zhipu? Сразу после того, как Жипу извинился, спор по поводу «украденной передачи данных» ZCode перешел к «экспорту данных».
Интерфейс ZCode
Вечером 19 сентября компания Taiyuan Chengming Technology Co., Ltd. (далее именуемая «Chengming Technology») официально раскрыла письмо, отправленное в адрес Пекинской компании Zhipu Huazhang Technology Co., Ltd. (далее именуемой «Zhipu»), раскрывая дополнительную информацию о проблеме загрузки данных кодовой базы, связанной с ZCode, инструментом программирования искусственного интеллекта Zhipu, и заявила, что оставляет за собой право подать дальнейшие судебные иски.
Основные активы всего проекта были практически украдены?
Понятно, что инцидент произошел 18 сентября. Рано утром того же дня индивидуальный разработчик Ferstar опубликовал на технологическом форуме сообщение о том, что он нашел локально зашифрованный сжатый пакет размером 313 МБ. Файл состояния показал, что файл включает в себя почти все основные активы коммерческого проекта 10G. Однако из-за сбоя загрузки он зависал локально и выдавал сбой 564 раза, пока не был обнаружен.
После реверса клиента ZCode компания Ferstar обнаружила, что когда пользователь входит в систему, клиент создает снимок рабочей области, включая полную историю версий Git, кеш LFS, журнал обновлений и другое содержимое, которое будет зашифровано локально и загружено в Alibaba Cloud OSS компанией Zhipu.
Разработчик также упомянул, что открытый ключ RSA, используемый в процессе шифрования, выдается сервером. Локально созданный пакет шифрования не может быть распакован пользователем или самим клиентом. Механизм загрузки всегда включен по умолчанию, и в клиентском интерфейсе нет переключателя, который мог бы его отключить.
Ссылка для загрузки ZCode восстановлена Ferstar
После публикации статья быстро привлекла к себе внимание. Несколько пользователей успешно воспроизвели его по методу Ферстара, подтвердив существование механизма.
Днем того же дня Zhipu извинился через группу пользователей ZCode. Жипу объяснил, что проблема связана с функцией ZCode «индекс базы кода», которая используется для поддержки восстановления контрольных точек сеанса, отката исторической версии и Repo Wiki (энциклопедия хранилища) и других функций. Repo Wiki может инициировать загрузку данных хранилища при создании страниц.
Zhipu заявила, что, поскольку эта функция была включена по умолчанию на начальном этапе запуска, это затронуло некоторых пользователей, поэтому мы глубоко сожалеем
. Однако Жипу пообещал, что после того, как Wiki-страница будет сгенерирована в облаке, соответствующие загруженные данные будут «немедленно уничтожены и не будут сохранены», и сообщил, что соответствующая проблема устранена.Zhipu также объявила, что в ближайшем будущем откроет исходный код базы кода ZCode, привлечет сторонних оценщиков для проверки работы системы и предоставит всем пользователям дополнительный еженедельный сброс квот.
ZCdoe извинился перед группой пользователей. Изображение с сайта IT Home
Подозревается, что данные передаются в Сингапур
Однако компания Chengming Technology поставила под сомнение фактический диапазон загрузки, направление потока и так называемое время восстановления данных интеллектуального спектра.
В письме компания Chengming Technology заявила, что в ходе собственного сбора технических доказательств было обнаружено, что с 28 августа по 14 сентября более 6 рабочих пространств компании были загружены в облако с помощью ZCode, размер самого большого из которых достигал 391,94 МБ.
Кроме того, в настоящее время упаковано рабочее пространство другого проекта Chengming Technology, но из-за 32 неудачных загрузок оно еще не было успешно доставлено в облако Zhipu, поэтому оно остается локальным и не было удалено. «Этой ситуации достаточно, чтобы доказать, что обработка данных вашей компанией запускается автоматически и происходит в пакетном режиме и не основана на каком-либо явном или неявном согласии компании».
Аккаунт Chengming Technology Douyin
Компания Chengming Technology отметила, что загруженный контент был не «фрагментом кода», как официально назвал его Zhipu, а полным архивным файлом, включая полный исходный код проекта и проект системной архитектуры, полную историю контроля версий (включая удаленные исторические журналы отправки и справочные журналы), пароли базы данных, ключи интерфейса, учетные данные и сертификаты облачных служб, личную информацию сотрудников и конечных пользователей, а также нераскрытые планы исследований и разработок и бизнес-планы, которые значительно превышают объем сбора, указанный в «Политике конфиденциальности ZCode».
В то же время компания Chengming Technology также сообщила о проблеме с фактическим потоком данных.
Chengming Technology обнаружила, что
все сетевые запросы от клиента ZCode направляются на доменные имена zcode.z.ai и cdn-zcode.z.ai
. По данным контрагента и контролера персональных данных платформы Z.AI, JINGSHENG HENGXING TECHNOLOGY PTE.LTD зарегистрирована в Сингапуре. В политике конфиденциальности также указано, что «услуги обычно предоставляются из Сингапура» и «ваши персональные данные обычно обрабатываются в Сингапуре».Согласно проспекту Zhipu на Гонконгской фондовой бирже, JINGSHENG HENGXING является дочерней компанией Zhipu, находящейся в косвенной собственности, зарегистрированной в Сингапуре в ноябре 2023 года. В английской версии ZCode в соглашении и политике конфиденциальности четко указано, что JINGSHENG HENGXING предоставляет услуги и несет ответственность за обработку данных. Однако китайская версия Пользовательского соглашения ZCode предусматривает, что поставщиком услуг является компания «Beijing Zhipu Huazhang Technology Co., Ltd». и политика конфиденциальности также предусматривает, что обработчиком данных является «Пекин Чжипу Хуачжан».
В китайском соглашении о конфиденциальности ZCode также упоминается, что вся личная информация, собранная и созданная Китаем в ходе его операций на территории Китая, хранится в Китае и не будет передаваться или храниться за границей. Если требуется трансграничная передача или хранение, пользователь будет заранее уведомлен и получено согласие пользователя, за исключением случаев, когда уведомление не требуется по закону.
Соглашение о конфиденциальности ZCode
Поэтому компания Chengming Technology требует от Zhipu объяснить фактическую тему обработки данных ZCode, а также информацию о том, осуществляется ли трансграничная передача или хранение за рубежом.
Кроме того, в публичном письме Chengming Technology также обратилась к Zhipu с 11 крупными запросами, включая остановку соответствующей обработки данных, удаление загруженных данных и резервных копий кэша, раскрытие записей обработки данных и доступа к ним, объяснение того, передаются ли они третьим лицам или используются для обучения моделей, а также предоставление сертификатов удаления и т. д., и требует от Zhipu письменного ответа до 10 октября.
В настоящее время Zhipu не ответила на письмо Chengming Technology. Однако 19 сентября ZCode выпустила версию 3.14.0, и в журнале обновлений четко указано, что «проблема ненормальной загрузки складской энциклопедии устранена».
Комментарии