เครื่องมือเขียนโค้ด AI ZCode กำลังถูกตรวจสอบ หลังบล็อกเกอร์สายเทคนิค ferstar ระบุว่าการวิเคราะห์ย้อนกลับพบว่า แอปจะอัปโหลดสแนปชอตโปรเจกต์ทั้งหมด รวมถึงโฟลเดอร์ .git ไปยัง Alibaba Cloud OSS โดยอัตโนมัติในเบื้องหลังทุกครั้งที่ผู้ใช้เข้าสู่ระบบ

ตามการวิเคราะห์ของ ferstar กลไกที่รายงานไม่ได้ขึ้นอยู่กับการดำเนินการอัปโหลดด้วยตนเองของผู้ใช้ บล็อกเกอร์ระบุว่ากระบวนการเริ่มขึ้นตราบใดที่ผู้ใช้เข้าสู่ระบบ และอินเทอร์เฟซไม่มีการตั้งค่าสำหรับปิดการอัปโหลดสแนปชอตโดยตรง

Ferstar ระบุว่าสแนปชอตของโปรเจกต์เชิงพาณิชย์หนึ่งรายการที่ตรวจพบระหว่างการวิเคราะห์มีขนาดราว 313MB และมีไฟล์ประมาณ 42,000 ไฟล์ โดยไฟล์ที่เกี่ยวข้องกับ .git คิดเป็น 86.6% ซึ่งรวมถึงออบเจ็กต์ประวัติ Git แคชไฟล์ขนาดใหญ่ LFS และ reflogs จากการค้นพบนี้ แพ็กเกจที่มีรายงานว่าอัปโหลดอาจไม่ได้มีเพียงโค้ดปัจจุบัน แต่ยังรวมถึงคอมมิตเก่า ไฟล์ขนาดใหญ่ที่เคยดาวน์โหลด และร่องรอยกิจกรรมของบรাঞ্চในเครื่อง

การวิเคราะห์เดียวกันระบุว่าการอัปโหลดสแนปชอตล้มเหลว 564 ครั้ง และยังคงอยู่ในคิวภายในเครื่องเพื่อรอลองใหม่ รายงานไม่ได้ระบุว่าผู้ใช้อาจได้รับผลกระทบกี่ราย การอัปโหลดเสร็จสมบูรณ์ในวงกว้างหรือไม่ หรือ ZCode ได้เปลี่ยนพฤติกรรมดังกล่าวนับตั้งแต่มีการเผยแพร่การวิเคราะห์หรือไม่

ตามที่อธิบายในรายงาน ถ้อยคำในนโยบายความเป็นส่วนตัวที่ ZCode เผยแพร่ระบุว่าผลิตภัณฑ์เก็บรวบรวมข้อความ ไฟล์ และโค้ดที่ผู้ใช้ส่งในการสนทนา แต่ไม่ได้ระบุอย่างชัดเจนว่ามีการอัปโหลดรีโพซิทอรีทั้งหมดและประวัติ Git นอกจากนี้ Ferstar ยังระบุว่า “แผนการเพิ่มประสิทธิภาพ” ของ ZCode ปิดอยู่โดยค่าเริ่มต้น และดูเหมือนจะควบคุมการใช้ข้อมูลเพื่อฝึกโมเดล ไม่ใช่การแพ็กเกจและส่งสแนปชอตเอง รายงานระบุว่าการปิดตัวเลือกดังกล่าวไม่ได้หยุดพฤติกรรมการอัปโหลดเบื้องหลัง

เหตุใดจึงสำคัญ

เหตุการณ์นี้มีความสำคัญ เพราะเครื่องมือเขียนโค้ด AI เข้าไปอยู่ในสภาพแวดล้อมการพัฒนาที่ใช้งานจริงมากขึ้น ซึ่งรีโพซิทอรีอาจมีโค้ดสมาร์ตคอนแทรกต์ สคริปต์การดีพลอย โครงสร้างพื้นฐานภายใน และข้อมูลอ่อนไหวอื่น ๆ ความแตกต่างระหว่างอินพุตการสนทนาที่เปิดเผยไว้กับการแพ็กเกจรีโพซิทอรีเต็มรูปแบบในเบื้องหลัง ส่งผลให้โปรไฟล์ด้านความปลอดภัยและการปฏิบัติตามข้อกำหนดเปลี่ยนแปลงอย่างมีนัยสำคัญ

เรื่องนี้ยังเพิ่มคำถามในวงการ AI ว่าฟีเจอร์เพื่อความสะดวกและระบบเทเลเมทรีถูกแยกออกจากเวิร์กโฟลว์การจัดการโค้ดอย่างชัดเจนเพียงพอหรือไม่ สำหรับทั้งองค์กรและทีมที่มีพื้นฐานด้านคริปโต การนำผลิตภัณฑ์มาใช้อาจขึ้นอยู่กับมากกว่าคุณภาพของโมเดลเพียงอย่างเดียว แต่รวมถึงขอบเขตข้อมูลที่โปร่งใส การยินยอมอย่างชัดแจ้ง และการควบคุมที่ตรวจสอบได้