AREX Feed Article
Chengming Technology 撤回 ZCode 代码上传指控，称掌握的是错误证据
9 月 21 日（周一），此前声称六个编码工作区被 ZCode 未经同意上传云端的中国公司 Chengming Technology 公开撤回指控，表示自己掌握的是「错误的证据」（wrong evidence）， 当日报道了这一消息。据 Reuters 报道，Z.ai 同日表示，已在这款编码助手中启用零数据保留（zero-data retention）功能。
ZCode 是 Z.ai（智谱）旗下的 AI 编码助手。上周有开发者发现，其默认开启的「Codebase Indexing」（代码库索引）功能未经同意就把本地 Git 仓库上传到阿里云，功能没有开关，隐私政策此前也未提及这类收集；Z.ai 在周五道歉、修复漏洞，并称数据已删除。
从周五指控到周一撤回
据 Reuters 报道，这份指控由 Chengming Technology 于 9 月 18 日（周五）发布在社交媒体：ZCode 未经同意将其六个公司编码工作区上传至云端，其中包含完整源码、数据库密码和员工个人信息等敏感数据。
周一撤回后，Reuters 向该公司求证，对方未立即回应；被问及事件详情时，Z.ai 也仅引导 Reuters 查阅公开声明。
删除无法自证：加密私钥仅由 Z.ai 持有
数据是否真的删掉了，用户此前缺少自己动手验证的办法。Reuters 报道，用户发现上传的数据由一把仅由 Z.ai 持有的后端私钥加密，既打不开自己上传的文件，也无法独立确认删除。
Z.ai 周一给出的回应是零数据保留：据 Reuters 报道，这款面向开发者和科技企业的编码助手已启用该功能；报道未说明其具体运作方式。
至于删除结论本身，目前仍建立在 Z.ai 转述的第三方评估上：评估方为此前公告中点名的中国信通院（CAICT）与网络安全公司 NSFOCUS——Reuters 将其中的智库方描述为工信部下属的 IT 标准智库——结论是用户代码数据已被删除、未在云平台保留。Z.ai 在周一的帖子中写道：「再次致以诚挚歉意，欢迎社区继续监督。完整的安全评估报告将很快发布。」
开源同步兑现：Apache 2.0 仓库获独立核实
周一的公告还兑现了此前悬置的开源承诺。据 Reuters 报道，Z.ai 表示已开源运行其最新 GLM-5.3 模型的编码助手，并禁用部分功能，承诺让产品更透明，同时表示「欢迎开发者继续审查 ZCode 并报告潜在问题」。
开源本身可以独立核验。9 月 21 日 00:54 UTC，账号简介显示为 Z.ai 算法工程师的 发帖宣布「ZCode 现已按 Apache 2.0 许可证开源」并附上仓库链接；02:05 UTC，Z.ai 官方账号 转推了这条消息。
仓库数据与此吻合： 创建于 9 月 20 日 12:01 UTC，最后一次代码推送在 9 月 21 日 00:02 UTC，为 Apache License 2.0；仓库自述为「Z.ai 的编码 Agent 工具链：强大、智能、可扩展」，README 覆盖 Desktop（Electron）、Web/TUI 与 Agent CLI 及运行时源码。截至 9 月 22 日发稿，该仓库已有 5,597 枚 star、1,601 次 fork。
评估报告未发布，「错误证据」是什么仍未说明
Reuters 称，这是中国 AI 实验室少有的一次公开安全事件披露。Reuters 同时提到，上周中国网信部门发布了更新版 AI 安全框架，点名模型抗拒关停、欺骗评估者与逃逸沙箱等风险；Z.ai 上个月曾表示 GLM-5.3 在发现软件漏洞方面接近 Anthropic 的 Mythos 模型，经两周安全评估后才发布，成为首家因安全原因明确推迟模型发布的中国实验室。
不过，这条证据链上仍有两处空缺：完整安全评估报告截至 Reuters 发稿尚未发布，「数据已删除」的结论仍系 Z.ai 转述；Chengming Technology 所称的「错误证据」具体指什么，公司未作说明，也未立即回应 Reuters 的置评请求。