Z.ai'nin ZCode agent'ı tüm Git geçmişini sessizce yüklüyor, araştırmacının söküm analizi iddiası

Söküm analizi ne iddia ediyor

Ferstar adıyla yayın yapan bir geliştirici, 18 Eylül 2026'da tokenstead.ai üzerinde barındırılan ve Hacker News üzerinden görünürlük kazanan ZCode'un tersine mühendislik incelemesini yayınladı. ZCode, açık ağırlıklı GLM model ailesinin arkasındaki, merkezi Pekin'de bulunan Z.ai'nin masaüstü kodlama agent'ı. İncelemeye göre, oturum açmış bir istemci kullanıcının tüm çalışma alanını — eksiksiz .git dizini, LFS varlık önbelleği, reflog'lar ve global uygulama yapılandırmaları — sessizce tek bir arşivde topluyor, şifreliyor ve Alibaba Cloud'un nesne depolama hizmeti Aliyun OSS'a yüklüyor.

Araştırmacının makinesinde uygulama, 42.411 dosyalık 345MB'lık ticari bir çalışma alanından 313MB'lık şifreli bir arşiv üretti ve davranış incelenirken loglarında 564 başarısız yükleme denemesi kaydedildi. Yerel olarak saklanan düz metin bir manifest, yükün ne kadar dengesiz olduğunu gösteriyor: .git dizini arşivin yüzde 86,6'sını oluşturuyordu — 196,1MB LFS varlığı, 102,2MB git objesi ve 0,6MB log — buna karşılık working-tree kaynak kodu ve dokümantasyonu yalnızca 46,2MB'dı.

Anahtar yalnızca satıcının elinde

Şüpheli bir dizini bir habere dönüştüren detay ise anahtar yönetimi. ferstar'ın istemcinin app.asar dosyasından çıkardığı yeniden yapılandırmaya göre uygulama, zcode.z.ai adresinden yükleme kimlik bilgileri istiyor ve buna karşılık OSS form imzaları, bir object key, bir boyut sınırı ve her tur için bir RSA public key alıyor. Ardından çalışma alanını tar.gz olarak paketliyor, AES-256-CTR ile şifreliyor, simetrik anahtarı sunucunun verdiği public key ile RSA-OAEP kullanarak sarıyor ve sonucu doğrudan Aliyun OSS'a POST ediyor; bir callback de anlık görüntüyü Z.ai'nin backend'ine kaydediyor.

Eşleşen private key yalnızca Z.ai'nin bulutunda mevcut. ferstar, yerel sistemdeki tüm private key'lerle arşivi açmayı denediğini ve başarısız olduğunu bildiriyor; yani kullanıcı da istemcinin kendisi de kullanıcının kendi diskindeki şifreli metni okuyamıyor. Araştırmacının deyişiyle: "Yalnızca sunucunun kullanabildiği bir anahtar tam olarak tek bir amaca hizmet eder: sunucunun kodunuzu istediği zaman okuyabilmesini sağlamaya."

Ayarlar devre dışı bırakmıyor

Arayüzü kodla çapraz kontrol eden ferstar, "Optimize Experience" (optimizeAgentExperienceEnabled) seçeneğinin yalnızca toplanan verilerin model eğitiminde kullanılıp kullanılamayacağını, "Repo Snapshot Indexing" (repoSnapshotIndexingEnabled) seçeneğinin ise yalnızca sunucunun zaten yüklenmiş olanları indeksleyip indekslemeyeceğini kontrol ettiğini buldu. Yerel toplama ve yükleme her durumda sürüyor. Toplama sidecar'ı başlangıçta koşulsuz olarak başlatılıyor, yalnızca istemcinin geçerli bir auth token üretmesi gerekiyor ve tek bir aktif oturum 62 toplama olayı kaydetti — her prompt'tan önce ve ayrıca görev tamamlandığında tetiklenen olaylar.

Doğrulama, yakalanan agent prompt'larının halka açık arşivi OrcaPromptVault'tan geliyor; arşivde ZCode'un 131KB'lık system prompt'u ve 31 araçtan oluşan yüzeyi yer alıyor. Bu araç listesinde hiçbir snapshot, yükleme veya telemetri aracı yok: pipeline, agent'ın tool döngüsünün dışında host düzeyinde bir sidecar olarak çalışıyor; bu yüzden hiçbir izin uyarısı tetiklenmiyor ve agent'ın kendisi de bunu hiç raporlamıyor. Yakalanan yüzey, kalıcı hale getirilmiş diğer ZCode oturumlarını ID ile çekebilen bir ReadSessionContext aracı da içeriyor.

Açıklama boşluğu ve tepki

İncelemeye göre ZCode'un gizlilik politikası yalnızca "konuşmalar sırasında gönderilen metin, dosyalar ve kod" ifadesini içeriyor; ferstar politika, SSS veya changelog'da tüm çalışma alanlarının paketlenip yüklenmesine dair hiçbir atıf bulamadı. Bu durum, uygulamanın güvene yaslanan Temmuz 2026 lansmanıyla çelişiyor: Bir Z.ai yöneticisi X'te şirketin web sitesinde listelenenlerin dışında hiçbir şey uygulamayacağını söylemişti — ve çalışma alanı anlık görüntüleme listede yok.

Ocak 2026'dan beri Hong Kong'da halka arz olan Z.ai, yayın zamanında resmi bir yanıt vermemişti. En görünür yanıt, ZCode ekibiyle bağlantılı bir hesaptan geldi — "hey I am sorry to let you find it" — ve bu, bir çürütme değil bir teyit olarak okunuyor. Bekleyen arşivi silmek işe yaramıyor: bildirildiğine göre istemci yarım saat içinde taze bir 313MB'lık paketi yeniden oluşturmuş ve yeniden denemeye devam etmiş.

Gönderi 13 saat içinde 276.000 görüntüleme aldı ve FeiZ tarafından yazılan Çince bir uyarı thread'i buna ek 63.800 görüntüleme daha kazandı; thread kullanıcıları şimdilik ZCode'u devre dışı bırakmaya ve açık kaynak agent'ları tercih etmeye çağırıyor.

Neden önemli

Bir git object store, working tree'nizin bir kopyası değildir; deponun eksiksiz soykütüğüdür. Sonraki commit'lerde silinmiş API anahtarları, yayınlanmamış ürünlere işaret eden push edilmemiş dal adları, .git/config'teki iç host adları ve yollar — hepsi arşivde yolculuk ediyor. Olay ayrıca yerel-YAPAY ZEKA topluluğundaki canlı bir kafa karışıklığını ortaya çıkarıyor: GLM'nin ağırlıkları açık, ama ZCode kapalı ve birçok yorumcu modelin itibarı nedeniyle tersini varsaydı. Kendi agent'ını güvenlik dokümantasyonuyla açık kaynak olarak yayımlayan Petri Kuittinen'in deyişiyle: "Benim tavsiyem hep oldu ve olmaya devam ediyor: kapalı kaynak YAPAY ZEKA harness'lerine GÜVENMEYİN." Bu bulgular, Z.ai'nin yanıt vermediği tek bir araştırmacının tersine mühendislik çalışması olarak kalıyor — ama yerel model kurulumunun güvenilirliğinin yalnızca ağırlıklara değil, onu çalıştıran harness'e de bağlı olduğunun bir hatırlatıcısı.