智譜(2513)近期在資本市場聲勢浩大，短短兩個月內募資規模突破700億元人民幣，估值與融資節奏都讓業界側目。就在光環尚未散去之際，其旗下AI編程工具ZCode卻被曝出「默默打包用戶代碼庫」並上傳至雲端的爭議，迅速引發開發者社群強烈反彈。這場風波不僅觸及產品信任底線，更讓人重新審視AI工具在便利與隱私之間的平衡問題。

    事情起源於一位開發者的日常清理。他發現ZCode異常佔用大量磁碟空間，進一步排查後驚覺：軟件在背景持續為工作區生成快照，打包、加密後上傳至阿里雲OSS。逆向分析顯示，快照範圍遠超當前程式碼，可能涵蓋完整的.git歷史、舊提交記錄甚至LFS快取。隨後多位蘋果Mac及Windows用戶均成功復現，證實問題並非個案。更令人不安的是，即便用戶關閉隱私或模型優化相關開關，倉庫快照似乎仍持續上傳。這直接挑戰了官方此前「只要不開啟優化體驗功能，就不會上傳用戶資料」的承諾。

    面對輿論，智譜迅速道歉，將問題歸因於預設開啟的「代碼庫索引」功能。官方解釋，ZCode的Repo Wiki需將部分倉庫資料傳至雲端生成知識庫，使用完畢後會立即銷毀；相關問題已修復，後續將開源部分程式碼、引入第三方審查，並為所有用戶補發一次周額度重置。表面上看，回應相對積極，但社區並未完全買帳。用戶自查發現，即使關閉優化開關，仍有上傳記錄；官方此前的說法與實際行為出現落差。

    「必要」與「過度」的界限須釐清

    這次風波的核心爭議在於「必要」與「過度」的界限。AI編程工具為了理解上下文、生成更準確的建議，上傳部分程式碼片段並不罕見，甚至可說是產品運作的常態。然而，這次被質疑的，是上傳範圍可能覆蓋整個工作區與完整Git歷史，且用戶事前幾乎不知情，也缺乏明確、單獨的拒絕機制。開發者在登入狀態下，軟件默默完成打包與上傳，這種「靜默」操作，與「知情同意」的基本原則形成尖銳對立。

    從法律角度看，問題更為嚴重。根據現有公開資訊與相關法規，ZCode在用戶登入狀態下，未經明確告知與單獨同意，即靜默打包並上傳整個工作區（含完整Git歷史）的行為，已涉嫌違反《個人信息保護法》《網絡安全法》等多部法律，可能構成違法風險。個人信息保護法強調處理敏感資訊需取得單獨同意，並明確告知處理目的、方式與範圍；網絡安全法則要求網絡運營者採取必要措施保護用戶資料。若上傳內容中包含API金鑰、雲服務憑證或商業機密，後果可能遠超個人隱私範疇，直接牽涉企業資安與商業秘密洩露。

    「千里之堤，潰於蟻穴」同樣適用

    智譜目前的補救措施——道歉、修復、承諾開源與第三方審查、補發額度——或許能暫時緩解情緒，但還不足以完全平息質疑。真正的關鍵在於透明度：此前究竟上傳了哪些檔案？資料在雲端保存了多久？是否已徹底刪除？這些細節仍需等待開源程式碼與獨立審查結果來驗證。額度重置是補償，但無法替代對過去行為的完整交代。

    對使用者而言，這場風波何嘗不是一記警鐘。倘若曾用ZCode開啟過公司項目，且倉庫歷史中出現過API金鑰或雲服務密鑰，建議立即全面更換憑證，並進行本地自查、保留相關證據。AI工具的便利性不應建立在用戶對資料流向的無知之上。資本市場的高估值與快速融資，最終仍需回歸產品倫理與合規基礎；「千里之堤，潰於蟻穴」，這個傳統智慧這裏同樣適用。

    這場風波尚未完全落幕。開源與第三方審查能否真正兌現、審查結果是否公開透明，將決定智譜能否重建開發者信心。對整個AI編程工具賽道而言，這也是一次必要的提醒：技術可以快速迭代，但用戶對自身程式碼的控制權，不應被默默犧牲。（香港商報記者 蘇尚）