AREX Feed Article
智谱 ZCode 完成整改并开源代码：CAICT 与 NSFOCUS 评估确认 OSS 存储桶零数据、桶已删除
9 月 21 日，智谱旗下编程工具 ZCode 的官方账号 @zcode_ai ：ZCode 代码库已在 GitHub 开源、置于社区审查之下，兑现此前未附日期的开源承诺；公告还公布了整改后两家机构的安全评估结果——中国信通院（CAICT）确认 zcode-prod 阿里云 OSS（对象存储服务）存储桶处于零数据状态，NSFOCUS 确认桶内全部数据对象及存储桶本身均已删除。ZCode 同时宣布将建立常态化的产品安全漏洞报告与响应流程，按问题严重程度提供奖励，完整评估报告即将发布。
事件起于 9 月 18 日：开发者 ferstar 在中披露，ZCode 会把整个工作区——完整 .git 历史、LFS（Git 大文件存储）资产缓存、reflog（引用日志）乃至全局应用配置——打包加密上传至阿里云 OSS，受检快照中 .git 内容占 86.6%，解密私钥只保存在服务器侧。 总结了 ZCode 当日的回应：致歉、称问题已修复、上传数据在 Wiki 生成后销毁，并承诺将代码库开源供第三方审查——这个承诺当时没有给出时间。
仓库里有什么：客户端、后端与 Agent CLI 源码均可查看
公告称，开源是把代码置于社区审查之下、让 ZCode「更加开放透明」，并向此前发现问题的社区开发者致谢。经核实，仓库 现已可以访问，简介为 “Z.ai's coding agent harness. Powerful, intelligent, extensible.”；中文 README 写明 ZCode 是 AI 编程工作台，提供桌面应用、浏览器界面和终端 Agent，仓库包含客户端、后端服务、共享 UI，以及 Agent CLI 与运行时源码。
上轮事件牵动的各端都在仓库里：packages/desktop 是 Electron 桌面应用，packages/server 承担 HTTP/WebSocket 服务与远程连接，apps/zcode-cli 收纳 Agent CLI、TUI（终端交互界面）与运行时，packages/ui、packages/services 等共享组件与业务服务也一并公开。发稿前抓取的仓库卡片显示，该项目已有约 4k stars 与 966 次 fork。
公告同时欢迎开发者继续审查 ZCode、报告潜在问题；奖励标准与提交渠道尚未公布。
CAICT 与 NSFOCUS 各自确认了什么
按公告转述，两家机构都对 zcode-prod 阿里云 OSS 存储桶和 v3.14.0 客户端作了核查。数据层面的结论由两家分别给出：CAICT 的技术评估确认该存储桶处于零数据状态，NSFOCUS 确认桶内全部数据对象及存储桶本身均已删除。
功能层面：CAICT 确认 v3.14.0 客户端已完成安全整改，Repo Wiki 功能已移除，生成本地仓库快照并上传的工作流已被禁用；NSFOCUS 确认 Repo Wiki 入口及对应生成工作流已移除，未发现可触发生成本地仓库快照或向外传输本地文件的功能路径。对装着 v3.14.0 的用户来说，这直接回答了眼下的疑问：还会不会有东西被传出去。
这些结论目前都经由官方公告转达。公告同时以公司名义确认，社区所指的代码数据未留存、从未用于模型训练——这句确认出自 ZCode 自己，而非两家评估机构。
从「未经外部验证」到机构评估：待核对的完整报告与奖励细则
9 月 19 日，独立账号 在对 v3.12.3 的逆向工程梳理中指出：上传行为有证据链，但「历史上传的数据是否真的被删除」未经外部验证；他建议旧版本用户停用、检查网络与访问日志、轮换敏感密钥。同日，Tech Buzz China 评论称，「默认开启上传」与「立即销毁」的声明可能难以让开发者放心，信任将取决于开源审计的范围与结果。
9 月 21 日的公告对这两点分别给出回应：开源让审计有了对象，两家机构的评估对数据删除给出结论。仍待落地的部分同样具体：完整评估报告未随公告发布，两家机构的评估时间、方法与范围要等报告公布才能核对；漏洞奖励流程刚宣布建立，细则未公布。公告结尾，ZCode 再次致歉，并表示欢迎社区继续审查。
截至本文检索推文数据时（公告发布约 5 小时后），这条公告已获得 235,211 次浏览、1,694 次点赞和 280 条回复。完整评估报告与奖励细则，是这份回应里下一批可供核对的内容。