요약:
Zhipu가 사용자 데이터를 패키징하고 업로드하는 위치는 어디인가요? 지푸가 사과한 직후, 지코드의 '데이터 유출' 논란은 '데이터 수출'로 바뀌었다.
ZCode 인터페이스
9월 19일 저녁, Taiyuan Chengming Technology Co., Ltd.(이하 'Chengming Technology')는 Beijing Zhipu Huazhang Technology Co., Ltd.(이하 'Zhipu')에 보낸 서신을 공식 공개하여 Zhipu의 AI 프로그래밍 도구인 ZCode와 관련된 코드 기반 데이터 업로드 문제에 대한 추가 정보를 공개했으며 추가 법적 조치를 취할 권리가 있음을 밝혔습니다.
전체 프로젝트의 핵심 자산이 도난당할 뻔 했다고요?
사건의 발단은 9월 18일로 거슬러 올라간 것으로 파악된다. 이날 이른 아침, 개인 개발자인 페르스타는 기술 포럼에 자신이 로컬에서 313MB의 암호화된 압축 패키지를 발견했다고 올렸다. 상태 파일을 보면 해당 파일에 10G 상용 프로젝트의 핵심 자산이 거의 모두 포함되어 있는 것으로 나타났습니다. 하지만 업로드 실패로 인해 로컬에서 멈춰 발견되기까지 564번의 실패를 겪었습니다.
ZCode 클라이언트를 되돌린 후 ferstar는 사용자가 로그인하면 클라이언트가 전체 Git 버전 기록, LFS 캐시, 참조 로그 및 기타 콘텐츠를 포함하는 작업 공간 스냅샷을 생성하며 이는 로컬로 암호화되어 Zhipu에 의해 Alibaba Cloud OSS에 업로드된다는 사실을 발견했습니다.
개발자는 암호화 과정에서 사용되는 RSA 공개키는 서버에서 발급받는다고도 언급했습니다. 로컬로 생성된 암호화 패키지는 사용자나 클라이언트 자체가 압축을 풀 수 없습니다. 업로드 메커니즘은 기본적으로 항상 켜져 있으며 클라이언트 인터페이스에는 실제로 이를 끌 수 있는 스위치가 없습니다.
ferstar에 의해 복원된 ZCode 업로드 링크
해당 기사는 공개된 후 곧바로 관심을 끌었습니다. 여러 사용자가 ferstar 방법에 따라 이를 성공적으로 재현하여 메커니즘의 존재를 확인했습니다.
지푸는 이날 오후 지코드 사용자 모임을 통해 사과했다. Zhipu는 이 문제가 세션 체크포인트 복구, 기록 버전 롤백, Repo Wiki(웨어하우스 백과사전) 및 기타 기능을 지원하는 데 사용되는 ZCode의 '코드 베이스 인덱스' 기능에서 비롯된다고 설명했습니다. Repo Wiki는 페이지를 생성할 때 창고 데이터 업로드를 트리거할 수 있습니다.
Zhipu는 이 기능이 출시 초기에 기본적으로 활성화되어 있었기 때문에 일부 사용자에게 영향을 미쳤으므로 매우 죄송하다고 밝혔습니다.
. 그러나 Zhipu는 Wiki 페이지가 클라우드에 생성된 후 관련 업로드된 데이터가 "즉시 파기되고 저장되지 않을 것"이라고 약속했으며 관련 문제가 수정되었다고 말했습니다.Zhipu는 또한 가까운 시일 내에 ZCode 코드 베이스를 오픈 소스화하고, 시스템 운영을 검토하기 위해 제3자 평가자를 도입하고, 모든 사용자에게 추가 주간 할당량 재설정을 제공할 것이라고 발표했습니다.
ZCdoe는 사용자 그룹 내에서 사과했습니다. IT 홈의 사진
데이터가 싱가포르로 유입되는 것으로 의심됩니다
그러나 Chengming Technology는 스마트 스펙트럼 데이터의 실제 업로드 범위, 흐름 방향 및 소위 수리 시간에 대해 의문을 제기했습니다.
Chengming Technology는 서신에서 자체 기술 증거 수집을 통해 8월 28일부터 9월 14일까지 회사의 6개 이상의 작업 공간이 ZCode를 통해 클라우드에 업로드되었으며 가장 큰 작업 공간의 크기가 391.94MB에 달하는 것으로 밝혀졌다고 밝혔습니다.
또한 Chengming Technology의 다른 프로젝트의 작업공간이 현재 패키징되어 있지만 32번의 업로드 실패로 인해 아직 Zhipu Cloud에 성공적으로 전달되지 않았기 때문에 로컬에 남아 있으며 삭제되지 않았습니다. "이 상황은 회사의 처리 행위가 자동으로 실행되고 일괄적으로 발생하며 회사의 명시적 또는 묵시적 동의가 전제되지 않음을 입증하기에 충분합니다."
Chengming Technology Douyin 계정
Chengming Technology는 업로드된 콘텐츠가 Zhipu가 공식적으로 부르는 "코드 조각"이 아니라 프로젝트의 전체 소스 코드 및 시스템 아키텍처 설계, 전체 버전 제어 내역(삭제된 기록 제출 및 참조 로그 포함), 데이터베이스 비밀번호, 인터페이스 키, 클라우드 서비스 자격 증명 및 인증서, 직원 및 최종 사용자의 개인 정보, 미공개 R&D 계획 및 사업 계획을 포함하는 완전한 아카이브 파일이며 이는 "ZCode 개인 정보 보호 정책"에 명시된 수집 범위를 훨씬 초과한다고 지적했습니다.
동시에 Chengming Technology는 실제 데이터 흐름에 대한 문제도 공개했습니다.
Chengming Technology는
ZCode 클라이언트의 모든 네트워크 요청이 zcode.z.ai 및 cdn-zcode.z.ai 도메인 이름으로 전달된다는 사실을 발견했습니다
. Z.AI 플랫폼의 계약 당사자이자 개인 데이터 관리자에 따르면 JINGSHENG HENGXING TECHNOLOGY PTE.LTD는 싱가포르에 등록되어 있습니다. 개인 정보 보호 정책에는 "서비스는 일반적으로 싱가포르에서 제공됩니다" 및 "귀하의 개인 데이터는 일반적으로 싱가포르에서 처리됩니다"라고 명시되어 있습니다.홍콩 증권 거래소의 Zhipu 투자 설명서에 따르면 JINGSHENG HENGXING은 2023년 11월 싱가포르에 등록된 Zhipu의 간접 완전 소유 자회사입니다. ZCode 영어 버전의 계약 및 개인정보 보호정책에는 JINGSHENG HENGXING이 서비스를 제공하고 데이터 처리를 담당한다는 것이 명시되어 있습니다. 그러나 ZCode 사용자 계약의 중국어 버전에는 서비스 제공자가 "Beijing Zhipu Huazhang Technology Co., Ltd."라고 명시되어 있습니다. 개인 정보 보호 정책에는 데이터 처리자가 "Beijing Zhipu Huazhang"이라고 명시되어 있습니다.
또한 중국 ZCode 개인정보 보호 계약에는 중국이 중국 내에서 운영하면서 수집하고 생성한 모든 개인 정보가 중국 내에 저장되며 국경을 넘어 전송되거나 저장되지 않는다고 명시되어 있습니다. 국외 전송 또는 저장이 필요한 경우에는 사전에 이용자에게 통지하고 이용자의 동의를 얻습니다. 단, 법률상 통지가 요구되지 않는 경우는 제외됩니다.
ZCode 개인정보 보호 계약
따라서 Chengming Technology는 Zhipu에게 ZCode의 실제 데이터 처리 주제와 국경 간 전송 또는 해외 저장 여부에 대한 설명을 요구합니다.
또한 공개 서신에서 Chengming Technology는 Zhipu에 관련 데이터 처리 중단, 업로드된 데이터 및 캐시 백업 삭제, 데이터 처리 및 액세스 기록 공개, 제3자와 공유 여부 또는 모델 훈련에 사용되는지 설명, 삭제 인증서 제공 등을 포함해 11가지 주요 요청을 했으며 Zhipu는 10월 10일 이전에 서면으로 응답할 것을 요구했습니다.
현재 Zhipu는 Chengming Technology의 서한에 대해 더 이상의 응답을 하지 않았습니다. 하지만 ZCode는 9월 19일 버전 3.14.0을 출시했으며, 업데이트 로그에는 "웨어하우스 백과사전의 비정상적인 업로드 문제가 수정되었습니다"라고 명확하게 언급되어 있습니다.
댓글