Z.ai-მ ZCode-ის ფარული ატვირთვის გამო ბოდიში მოიხადა და პროექტი ღია კოდში გამოაქვეყნა

ჩინურმა AI კომპანია Z.ai-მ ბოდიში მოიხადა მას შემდეგ, რაც დეველოპერებმა აღმოაჩინეს, რომ მისი კოდგენერაციის ხელსაწყო ZCode მომხმარებლის მთლიან სამუშაო სივრცეებს ფარულად ალაგებდა და ღრუბელში ატვირთავდა. კომპანია ამბობს, რომ ეს მონაცემები მოდელების გაწვრთნისთვის არ გამოუყენებია, პრობლემური ფუნქცია ამოიღო და პროექტის კოდი GitHub-ზე გამოაქვეყნა.

რას ატვირთავდა ZCode

მკვლევარ Ferstar-ის თქმით, რომელმაც ეს ქცევა პირველმა აღწერა, ატვირთვას ZCode-ის Repository Index ფუნქცია იწვევდა — მას შემდეგ, რაც Repo Wiki ღრუბელში დოკუმენტაციის გვერდებს აგენერირებდა. ხელსაწყო მთლიან სამუშაო სივრცეებს, პროექტების სრული ისტორიის ჩათვლით, git-ით დაშიფრულ არქივებში ალაგებდა და Alibaba Cloud-ში აგზავნიდა.

ამ არქივების გაშიფვრის გასაღები მხოლოდ Z.ai-ს კონტროლის ქვეშ მყოფ სერვერებზე ინახებოდა. მომხმარებლებს ატვირთული ფაილების არც გახსნა შეეძლოთ და არც წაშლა; Ferstar-ის თქმით, ხელსაწყოს ამ ქცევის გამორთვის პარამეტრი არ ჰქონდა და პროდუქტის კონფიდენციალურობის პოლიტიკაში ამაზე არაფერი ეწერა.

ბოდიში და გარე აუდიტი

ZCode-მ ორშაბათს განცხადება გამოაქვეყნა, რომელშიც „უსაფრთხოების პრობლემებისთვის“ ბოდიში მოიხადა და დაადასტურა, რომ ატვირთული მონაცემები მოდელების გაწვრთნაზე არასოდეს გამოუყენებიათ. „შემდგომში შევქმნით პროდუქტის უსაფრთხოების ხარვეზების შეტყობინებისა და რეაგირების მუდმივ პროცესს“, — ნათქვამია განცხადებაში; კომპანია დეველოპერებს პრობლემის სიმძიმის მიხედვით ჯილდოსაც ჰპირდება.

გუნდის თქმით, ცვლილებების შემდეგ პროდუქტის შესამოწმებლად ჩინეთის საინფორმაციო და საკომუნიკაციო ტექნოლოგიების აკადემია (CAICT) და პეკინური უსაფრთხოების კომპანია NSFOCUS მოიწვიეს. ორივე შეფასების დასკვნით, ადრე ატვირთული ყველა მონაცემი წაშლილია, ხოლო Repo Wiki ფუნქცია ამოღებულია.

ღია კოდი — დათქმებით

ZCode-მ პროექტის სრული კოდი GitHub-ზე გამოაქვეყნა და აღნიშნა, რომ ასე კოდი „საზოგადოების შემოწმების ქვეშ“ ხვდება და პროდუქტი უფრო გამჭვირვალე ხდება. უსაფრთხოების სრული ანგარიშიც მალე გამოქვეყნდება.

Ferstar-მა დაადასტურა, რომ გამოქვეყნებულ კოდში Repo Wiki-ს რეალიზაცია აღარ არის, თუმცა კომპანია გააკრიტიკა იმის გამო, რომ წაიშალა commit-ების ისტორია და ის კოდიც, რომლითაც ZCode პაჩამდე ფაილებს ატვირთავდა — ეს ორიგინალური ქცევის დამოუკიდებელ გადამოწმებას ართულებს.

ნაცნობი სცენარი

ეს ისტორია ივლისის შემთხვევას იხსენებს: მაშინ xAI-ის Grok build აღმოაჩინეს, რომ მთლიან რეპოზიტორიებს ღრუბელში აგზავნიდა, რის შემდეგაც Elon Musk მონაცემების წაშლა დაჰპირდა. Z.ai, ადრე ცნობილი როგორც Zhipu, ჩინეთის ერთ-ერთი უმსხვილესი AI დეველოპერია: ის 2019 წელს Tsinghua University-ის Knowledge Engineering Group-იდან გამოეყო და პირველი AI-ერის კომპანია გახდა, რომელიც Hong Kong Stock Exchange-ზე განთავსდა. გასულ თვეს კომპანიამ განაცხადა, რომ მისი მოდელი GLM-5.3 უსაფრთხოების ხარვეზების ძიებაში დასავლურ საუკეთესო სისტემებს არ ჩამოუვარდება.