Résumé :
Où les données de l'utilisateur sont-elles regroupées et téléchargées par Zhipu ? Juste après que Zhipu se soit excusé, la controverse sur le « transfert de données volées » de ZCode s'est transformée en « exportation de données ».
Interface ZCode
Dans la soirée du 19 septembre, Taiyuan Chengming Technology Co., Ltd. (ci-après dénommé « Chengming Technology ») a officiellement divulgué une lettre envoyée à Beijing Zhipu Huazhang Technology Co., Ltd. (ci-après dénommé « Zhipu »), divulguant plus d'informations sur le problème de téléchargement de données de base de code impliqué dans ZCode, l'outil de programmation d'IA de Zhipu, et a déclaré qu'elle se réservait le droit d'engager d'autres poursuites judiciaires.
Les principaux actifs de l'ensemble du projet ont été presque volés ?
Il semblerait que l'incident remonte au 18 septembre. Tôt le matin de ce jour-là, Ferstar, un développeur individuel, a posté sur le forum technologique qu'il avait trouvé localement un package compressé crypté de 313 Mo. Le fichier d'état a montré que le fichier comprenait presque tous les actifs essentiels d'un projet commercial 10G. Cependant, en raison d'un échec de téléchargement, il était resté bloqué localement et avait échoué 564 fois jusqu'à ce qu'il soit découvert.
Après avoir inversé le client ZCode, ferstar a découvert que lorsque l'utilisateur est connecté, le client génère un instantané de l'espace de travail, comprenant l'historique complet des versions de Git, le cache LFS, le reflog et d'autres contenus, qui seront chiffrés localement et téléchargés sur Alibaba Cloud OSS par Zhipu.
Le développeur a également mentionné que la clé publique RSA utilisée dans le processus de cryptage est émise par le serveur. Le package de chiffrement généré localement ne peut pas être décompressé par l'utilisateur ou le client lui-même. Le mécanisme de téléchargement est toujours activé par défaut et aucun commutateur dans l'interface client ne peut réellement le désactiver.
Lien de téléchargement ZCode restauré par ferstar
Après la publication de l'article, il a rapidement attiré l'attention. Plusieurs utilisateurs l'ont reproduit avec succès selon la méthode Ferstar, confirmant ainsi l'existence du mécanisme.
Dans l'après-midi de ce jour-là, Zhipu s'est excusé via le groupe d'utilisateurs ZCode. Zhipu a expliqué que le problème provient de la fonction « index de base de code » de ZCode, qui est utilisée pour prendre en charge la récupération du point de contrôle de session, la restauration de la version historique et le Repo Wiki (encyclopédie de l'entrepôt) et d'autres fonctions. Repo Wiki peut déclencher le téléchargement des données de l'entrepôt lors de la génération de pages.
Zhipu a déclaré que cette fonction étant activée par défaut lors de la phase initiale du lancement, certains utilisateurs ont été affectés. Nous sommes donc profondément désolés.
. Cependant, Zhipu a promis qu'une fois la page Wiki générée dans le cloud, les données téléchargées pertinentes seraient « immédiatement détruites et ne seront pas enregistrées », et a déclaré que le problème concerné avait été résolu.Zhipu a également annoncé qu'il ouvrirait prochainement la base de code ZCode, qu'il ferait appel à des évaluateurs tiers pour examiner le fonctionnement du système et qu'il fournirait à tous les utilisateurs une réinitialisation hebdomadaire supplémentaire du quota.
ZCdoe s'est excusé auprès du groupe d'utilisateurs. Photo de la maison informatique
Les données sont soupçonnées d'être acheminées vers Singapour
Cependant, Chengming Technology a remis en question la plage de téléchargement réelle, la direction du flux et le temps de réparation des données du spectre intelligent.
Chengming Technology a déclaré dans la lettre que grâce à sa propre collecte de preuves techniques, il a été découvert que du 28 août au 14 septembre, plus de 6 espaces de travail de l'entreprise ont été téléchargés sur le cloud par ZCode, le plus grand atteignant 391,94 Mo.
De plus, l'espace de travail d'un autre projet de Chengming Technology est actuellement empaqueté, mais en raison de 32 échecs de téléchargement, il n'a pas encore été livré avec succès au Zhipu Cloud, il reste donc localement et n'a pas été supprimé. "Cette situation est suffisante pour prouver que le comportement de traitement de votre entreprise est automatiquement déclenché et se produit par lots, et ne repose sur aucun consentement exprès ou implicite de l'entreprise."
Compte Douyin de Chengming Technology
Chengming Technology a souligné que le contenu téléchargé n'était pas un « extrait de code » comme Zhipu l'appelait officiellement, mais un fichier d'archive complet, comprenant le code source complet du projet et la conception de l'architecture du système, l'historique complet du contrôle des versions (y compris les soumissions historiques supprimées et les journaux de référence), les mots de passe de la base de données, les clés d'interface, les informations d'identification et les certificats du service cloud, les informations personnelles des employés et des utilisateurs finaux, ainsi que les plans de R&D et les plans d'affaires non divulgués, qui dépassent de loin la portée de la collecte indiquée dans la « Politique de confidentialité de ZCode ».
Dans le même temps, Chengming Technology a également révélé un problème avec le flux réel de données.
Chengming Technology a découvert que
toutes les requêtes réseau du client ZCode sont dirigées vers les noms de domaine zcode.z.ai et cdn-zcode.z.ai
. Selon le cocontractant et responsable du traitement des données personnelles de la plateforme Z.AI, JINGSHENG HENGXING TECHNOLOGY PTE.LTD est enregistrée à Singapour. La politique de confidentialité indique également que « les services sont généralement fournis depuis Singapour » et que « vos données personnelles sont généralement traitées à Singapour ».Selon le prospectus de Zhipu à la Bourse de Hong Kong, JINGSHENG HENGXING est une filiale indirecte en propriété exclusive de Zhipu enregistrée à Singapour en novembre 2023. Dans la version anglaise de ZCode, il est clair dans son accord et sa politique de confidentialité que JINGSHENG HENGXING fournit des services et est responsable du traitement des données. Cependant, la version chinoise du contrat d'utilisation de ZCode stipule que le fournisseur de services est « Beijing Zhipu Huazhang Technology Co., Ltd ». et la politique de confidentialité stipule également que le sous-traitant des données est « Beijing Zhipu Huazhang ».
L'accord de confidentialité chinois de ZCode mentionne également que toutes les informations personnelles collectées et générées par la Chine dans le cadre de ses opérations en Chine sont stockées en Chine et ne seront pas transférées ou stockées au-delà de la frontière. Si une transmission ou un stockage transfrontalier est nécessaire, l'utilisateur en sera informé à l'avance et son consentement sera obtenu, sauf dans les cas où la notification n'est pas requise par la loi.
Accord de confidentialité ZCode
Par conséquent, Chengming Technology demande à Zhipu d'expliquer le sujet réel du traitement des données de ZCode et s'il y a une transmission transfrontalière ou un stockage à l'étranger.
En outre, dans la lettre publique, Chengming Technology a également adressé 11 demandes majeures à Zhipu, notamment l'arrêt du traitement des données concernées, la suppression des données téléchargées et des sauvegardes de cache, la divulgation des enregistrements de traitement et d'accès aux données, en expliquant si elles sont partagées avec des tiers ou utilisées pour la formation de modèles, et en fournissant des certificats de suppression, etc., et exige que Zhipu réponde par écrit avant le 10 octobre.
Actuellement, Zhipu n'a apporté aucune autre réponse à la lettre de Chengming Technology. Cependant, ZCode a publié la version 3.14.0 le 19 septembre et le journal de mise à jour mentionne clairement que "le problème de téléchargement anormal de l'encyclopédie de l'entrepôt a été résolu".
Commentaires