L’outil de programmation IA ZCode fait l’objet d’un examen attentif après que le blogueur technique ferstar a déclaré qu’une analyse inversée avait révélé que l’application téléverse automatiquement en arrière-plan des instantanés complets de projets, y compris le dossier .git, vers Alibaba Cloud OSS dès qu’un utilisateur est connecté.

Selon l’analyse de ferstar, le mécanisme signalé ne dépend pas d’une action de téléversement manuelle de l’utilisateur. Le blogueur a indiqué que le processus démarre tant que l’utilisateur est connecté et que l’interface ne propose aucun réglage permettant de désactiver le téléversement de l’instantané lui-même.

Ferstar a déclaré qu’un instantané de projet commercial identifié durant l’analyse pesait environ 313MB et contenait près de 42 000 fichiers. Parmi eux, les fichiers liés à .git représentaient 86,6 %, notamment des objets d’historique Git, des caches de fichiers volumineux LFS et des reflogs. D’après ce constat, le paquet de téléversement signalé pourrait inclure non seulement le code actuel, mais aussi d’anciens commits, des fichiers volumineux téléchargés précédemment et des traces de l’activité des branches locales.

La même analyse indique que le téléversement de l’instantané avait échoué 564 fois et était resté en file d’attente localement pour être réessayé. Le rapport n’a pas établi combien d’utilisateurs auraient pu être concernés, si les téléversements avaient été réalisés à grande échelle, ni si ZCode avait modifié ce comportement depuis la publication de l’analyse.

Le libellé publié de la politique de confidentialité de ZCode, tel que décrit dans le rapport, indique que le produit collecte les textes, fichiers et codes soumis par les utilisateurs dans les conversations, sans préciser explicitement que des dépôts entiers et l’historique Git sont téléversés. Ferstar a également déclaré que le « plan d’optimisation » de ZCode est désactivé par défaut et semble régir l’utilisation des données pour l’entraînement des modèles plutôt que la mise en paquet et le transfert des instantanés eux-mêmes. Le rapport indique que désactiver cette option ne met pas fin au comportement de téléversement en arrière-plan.

Pourquoi c’est important

Cet épisode est important parce que les outils de programmation IA sont de plus en plus intégrés à des environnements de développement actifs, où les dépôts peuvent contenir du code de contrats intelligents, des scripts de déploiement, une infrastructure interne et d’autres éléments sensibles. La différence entre des entrées conversationnelles divulguées et la mise en paquet complète de dépôts en arrière-plan modifie sensiblement le profil de sécurité et de conformité.

Il s’ajoute également à une question plus large pour le secteur des outils d’IA : les fonctionnalités pratiques et les systèmes de télémétrie sont-ils suffisamment clairement séparés des flux de travail de traitement du code ? Pour les équipes d’entreprise comme pour les équipes natives de la cryptomonnaie, l’adoption d’un produit pourrait dépendre moins de la seule qualité du modèle que de frontières de données transparentes, d’un consentement explicite et de contrôles auditables.