ZCode上传完整.git历史：AI编程工具的代码隐私警钟

随着AI编程助手从补全代码走向自动修改文件、运行任务和跨模块排障，工具能够接触的本地信息越来越多。效率提升的另一面，是代码究竟被读取了什么、上传了什么，以及这些数据会被保存多久，正在成为必须正视的工程安全问题。

事件核心

近期社群热议的ZCode事件，焦点并不只是“AI工具会读取代码”，而是其端到端长程任务功能被确认会打包上传项目完整的.git历史记录。官方社群也确认了这一行为。据素材信息，该事件已经造成GLM-5.5版本延期，相关方面正在配合处理。

完整Git历史与当前工作区并不等价。即使某段代码已经从主分支删除，它仍可能存在于历史提交、其他分支或提交差异中；提交信息、路径变化和开发过程也可能暴露项目结构、缺陷修复线索以及内部协作信息。因此，所谓“只上传当前项目”的理解，不能自动覆盖完整版本库的隐私风险。

开发者应关注什么

• 默认上传范围：工具是否会读取隐藏目录、历史提交、未跟踪文件和其他分支。
• 任务触发条件：哪些功能会扩大数据采集范围，是否在执行前明确提示并取得授权。
• 数据生命周期：上传内容是否用于模型训练，保存多久，能否删除，是否会被人工或其他服务访问。
• 企业隔离能力：团队版或企业版是否提供地域、租户、权限和审计控制，而不是只依赖一条隐私声明。
• 本地防护措施：在使用前检查忽略规则、远程仓库配置和网络访问；对敏感项目优先采用本地模型或关闭长程任务功能。

事件的意义

这起事件提醒行业，AI编程工具的安全评估不能停留在“是否上传当前文件”。真正需要审查的是工具的完整数据路径：它如何发现上下文、如何打包文件、向服务端发送哪些元数据，以及数据是否会被进一步处理。对于企业，代码扫描、仓库权限和密钥管理之外，还应把AI工具纳入供应链与数据防泄漏审计。

对于开发者而言，最实际的做法是把AI工具当作拥有明确权限的外部服务，而不是天然可信的本地插件。在没有看清上传边界前，不要将含有商业机密、凭据或未公开设计的仓库直接交给长程自动化功能。厂商则需要以可见、可配置、可审计的方式披露数据流，并让用户在关键操作前拥有清晰的拒绝权。只有效率和隐私边界同时可控，AI编程才能真正进入生产环境。

来源：OSChina