La herramienta de programación con IA ZCode está bajo escrutinio después de que el bloguero técnico ferstar afirmara que un análisis inverso descubrió que la aplicación carga automáticamente en segundo plano instantáneas completas de proyectos, incluida la carpeta .git, a Alibaba Cloud OSS cada vez que un usuario tiene sesión iniciada.

Según el análisis de ferstar, el mecanismo reportado no depende de una acción manual de carga por parte del usuario. El bloguero dijo que el proceso comienza mientras el usuario tenga sesión iniciada y que la interfaz no ofrece ninguna configuración para desactivar la carga de la instantánea en sí.

Ferstar señaló que una instantánea de un proyecto comercial identificada durante el análisis tenía unos 313MB y contenía aproximadamente 42,000 archivos. De ellos, los archivos relacionados con .git representaban el 86.6%, incluidos objetos del historial de Git, cachés de archivos grandes de LFS y reflogs. Con base en ese hallazgo, el paquete de carga reportado podría incluir no solo código actual, sino también commits antiguos, archivos grandes descargados previamente y rastros de actividad de ramas locales.

El mismo análisis indicó que la carga de la instantánea había fallado 564 veces y permanecía en cola localmente para reintentar. El informe no estableció cuántos usuarios podrían haberse visto afectados, si las cargas se completaron de forma generalizada ni si ZCode ha cambiado el comportamiento desde que se publicó el análisis.

La redacción de la política de privacidad publicada por ZCode, según la descripción del informe, señala que el producto recopila texto, archivos y código enviados por los usuarios en conversaciones, pero no dice explícitamente que se carguen repositorios completos e historiales de Git. Ferstar también indicó que el “plan de optimización” de ZCode está desactivado de forma predeterminada y parece regular el uso de datos para el entrenamiento de modelos, en lugar del empaquetado y la transferencia de instantáneas. El informe afirmó que desactivar esa opción no detiene el comportamiento de carga en segundo plano.

Por qué importa

El caso importa porque las herramientas de programación con IA se integran cada vez más en entornos de desarrollo activos, donde los repositorios pueden contener código de contratos inteligentes, scripts de implementación, infraestructura interna y otros materiales sensibles. La diferencia entre las entradas conversacionales divulgadas y el empaquetado completo de repositorios en segundo plano cambia de forma sustancial el perfil de seguridad y cumplimiento.

También se suma a una cuestión más amplia de la industria en torno a las herramientas de IA: si las funciones de conveniencia y los sistemas de telemetría están suficientemente separados de los flujos de trabajo de manejo de código. Tanto para equipos empresariales como para equipos nativos de criptomonedas, la adopción del producto puede depender menos de la calidad del modelo por sí sola y más de límites de datos transparentes, consentimiento explícito y controles auditables.