Z.ai, ZCode'un çalışma alanlarını yüklemesi için özür diledi ve kodu açtı

Çinli yapay zeka şirketi Z.ai, geliştiricilerin kod üretim aracı ZCode'un kullanıcıların tüm çalışma alanlarını sessizce paketleyip bulut depolamaya yüklediğini keşfetmesinin ardından özür diledi. Şirket, yüklenen verilerin modellerinin eğitiminde hiç kullanılmadığını söylüyor; sorunlu özelliği kaldırdı ve projenin kaynak kodunu GitHub'da yayımladı.

ZCode neleri yüklüyordu

Bu davranışı ilk kez belgeleyen araştırmacı Ferstar'a göre yüklemeleri, Repo Wiki'nin bulutta dokümantasyon sayfaları üretmesinin ardından ZCode'un Repository Index işlevi tetikliyordu. Araç, projelerin tam geçmişi dahil tüm çalışma alanlarını git ile şifrelenmiş arşivler halinde paketleyip Alibaba Cloud'a gönderiyordu.

Bu arşivleri çözmek için gereken anahtar yalnızca Z.ai'ın kontrolündeki sunucularda tutuluyordu. Kullanıcılar ZCode'un yüklediği dosyaları ne okuyabiliyor ne de silebiliyordu; Ferstar'a göre araçta bu davranışı kapatacak bir ayar yoktu ve ürünün gizlilik politikasında konuya hiç değinilmiyordu.

Özür ve dış denetim

ZCode pazartesi günü yayımladığı açıklamada "güvenlik sorunları" için özür diledi ve yüklenen verilerin model eğitiminde kullanılmadığını doğruladı. Şirket, "Bundan sonra ürün güvenliği açıklarının bildirilmesi ve yanıtlanması için sürekli bir süreç kuracağız" dedi ve bildirilen sorunların ciddiyetine göre ödül vereceğini belirtti.

Ekibe göre, değişikliklerin ardından ürünü incelemeleri için Çin Bilgi ve İletişim Teknolojileri Akademisi (CAICT) ile Pekin merkezli güvenlik şirketi NSFOCUS görevlendirildi. Z.ai'a göre her iki değerlendirme de daha önce yüklenen tüm verilerin silindiği ve Repo Wiki özelliğinin kaldırıldığı sonucuna vardı.

Şeffaflık ve eleştiriler

ZCode ayrıca projenin tamamını GitHub'da açık kaynak olarak yayımladı; şirket bunun kodu "topluluğun incelemesine" açtığını ve ZCode'u daha şeffaf kıldığını söyledi. Tam güvenlik değerlendirme raporunun yakında yayımlanacağı belirtiliyor.

Ferstar, yayımlanan kodda Repo Wiki uygulamasının artık bulunmadığını doğruladı; ancak şirketin commit kayıtlarını ve yama öncesi dosya yükleme kodunu silmesini eleştirdi, çünkü bu durum özgün davranışın bağımsız olarak doğrulanmasını zorlaştırıyor.

Tanıdık bir örüntü

Olay, temmuz ayında xAI'ın Grok build'i hakkındaki açıklamaları hatırlatıyor: o araç tüm depoları buluta gönderirken yakalanmış, Elon Musk da verileri temizleme sözü vermişti. Eski adı Zhipu olan Z.ai, Çin'in en büyük yapay zeka geliştiricilerinden biri; 2019'da Tsinghua Üniversitesi'nin Knowledge Engineering Group laboratuvarından ayrıldı ve Hong Kong Borsası'nda işlem gören ilk yapay zeka dönemi şirketi oldu. Geçen ay GLM-5.3 modelinin güvenlik açığı avında en iyi Batılı sistemlerle eşdeğer olduğunu iddia etti.