ابزار کدنویسی هوش مصنوعی زدکد پس از آن زیر ذره‌بین قرار گرفته است که وبلاگ‌نویس فنی ferstar گفت تحلیل معکوس او نشان می‌دهد این برنامه هر زمان کاربر وارد حساب خود باشد، اسنپ‌شات کامل پروژه‌ها، از جمله پوشه .git، را به‌صورت خودکار و در پس‌زمینه در Alibaba Cloud OSS آپلود می‌کند.

بر اساس تحلیل ferstar، سازوکار گزارش‌شده به اقدام دستی کاربر برای آپلود وابسته نیست. این وبلاگ‌نویس گفت فرایند تا زمانی که کاربر وارد حساب خود باشد آغاز می‌شود و رابط کاربری نیز هیچ تنظیماتی برای غیرفعال‌کردن خود آپلود اسنپ‌شات ارائه نمی‌کند.

Ferstar گفت یکی از اسنپ‌شات‌های پروژه تجاری که در جریان تحلیل شناسایی شد، حدود 313MB حجم داشت و نزدیک به 42,000 فایل را در بر می‌گرفت. از این میان، فایل‌های مرتبط با .git سهم 86.6% داشتند که شامل اشیای تاریخچه Git، کش‌های فایل‌های بزرگ LFS و reflogها می‌شد. بر پایه این یافته، بسته آپلود گزارش‌شده ممکن است نه‌تنها کد فعلی، بلکه کامیت‌های قدیمی‌تر، فایل‌های بزرگِ پیش‌تر دانلودشده و ردپای فعالیت شاخه‌های محلی را نیز شامل شود.

همان تحلیل می‌گوید آپلود اسنپ‌شات 564 بار ناموفق بوده و برای تلاش مجدد همچنان در صف محلی باقی مانده است. این گزارش مشخص نکرد که چه تعداد کاربر ممکن است تحت تأثیر قرار گرفته باشند، آیا آپلودها به‌طور گسترده تکمیل شده‌اند یا خیر، و آیا زدکد از زمان انتشار تحلیل، این رفتار را تغییر داده است یا نه.

طبق توضیح گزارش از متن سیاست حریم خصوصی منتشرشده زدکد، این محصول متن، فایل‌ها و کدهای ارسال‌شده توسط کاربران در گفت‌وگوها را جمع‌آوری می‌کند، اما صراحتاً نمی‌گوید که کل مخزن‌ها و تاریخچه Git آپلود می‌شوند. Ferstar همچنین گفت «طرح بهینه‌سازی» زدکد به‌طور پیش‌فرض خاموش است و ظاهراً استفاده از داده‌ها برای آموزش مدل را کنترل می‌کند، نه خود بسته‌بندی و انتقال اسنپ‌شات را. گزارش می‌گوید خاموش‌کردن این گزینه، رفتار آپلود پس‌زمینه را متوقف نمی‌کند.

چرا اهمیت دارد

این موضوع اهمیت دارد زیرا ابزارهای کدنویسی هوش مصنوعی به‌طور فزاینده در محیط‌های توسعه فعال قرار می‌گیرند؛ محیط‌هایی که مخزن‌ها می‌توانند شامل کد قراردادهای هوشمند، اسکریپت‌های استقرار، زیرساخت داخلی و دیگر مواد حساس باشند. تفاوت میان ورودی‌های گفت‌وگوییِ افشاشده و بسته‌بندی کامل مخزن در پس‌زمینه، مشخصات امنیتی و انطباق را به‌طور چشمگیری تغییر می‌دهد.

این مسئله همچنین به پرسشی گسترده‌تر در صنعت ابزارهای هوش مصنوعی دامن می‌زند: اینکه آیا قابلیت‌های راحتی و سامانه‌های تله‌متری به‌اندازه کافی روشن از جریان‌های کاری پردازش کد جدا شده‌اند یا خیر. برای تیم‌های سازمانی و بومیِ رمزارز، پذیرش محصول ممکن است کمتر صرفاً به کیفیت مدل و بیشتر به مرزهای شفاف داده، رضایت صریح و کنترل‌های قابل ممیزی وابسته باشد.