AREX Feed Article
ferstar 核验 ZCode 开源仓库：Repo Wiki 确已移除，提交记录却被抹除
最早揭出 ZCode 上传用户代码问题的研究者 ferstar，对开源后的 ZCode 代码做了独立核查。据 9 月 22 日报道，ferstar 确认开源代码中已没有 Repo Wiki 的实现痕迹——这正是 ZCode 官方宣布移除的功能；但他同时批评，项目的提交记录（commit records）遭到抹除，打补丁之前负责把文件传上云端的源码已无从查看。
ZCode 是北京公司 Z.ai（前身为智谱 Zhipu）旗下、运行 GLM-5.3 模型的编程助手。9 月 21 日，ZCode 就开发者上周在 X、RedNote 等社交平台报告的代码上传问题公开致歉，宣布建立常态化的产品安全漏洞报告与响应流程、移除 Repo Wiki 功能，并将整个项目开源至 GitHub；它同时援引中国信通院（CAICT）与网络安全公司 NSFOCUS 的评估称，此前上传的数据已全部删除，且上传数据从未用于训练模型。
「Repo Wiki 已移除」此前止于公告与转述口径
在此之前，「Repo Wiki 已被移除」的说法出自两处：ZCode 自己的公告，以及 Z.ai 转述的 CAICT 与 NSFOCUS 评估结论。ferstar 翻看开源代码的结果与公告一致：代码中确实已无 Repo Wiki。
ferstar 也是最初发现问题的人。据 The Register 报道，他把问题定位在 ZCode 的 Repository Index 功能上——Repo Wiki 在云端生成页面后，这个功能会触发文件上传；用户在设置里找不到关闭它的选项，隐私政策中也没有任何披露。则记录了 Z.ai 自己的归因：问题源于默认开启的「Codebase Indexing」功能，Z.ai 在周五的声明中称已修复这一漏洞。
提交记录被抹除，补丁前的上传源码无从审查
ferstar 批评项目抹除了提交记录：社区能看到的是打补丁之后的代码；当初实际执行上传的那个版本，连同它的修改历史，已不在仓库里。
这个缺失之所以关键，要看该功能当时做了什么。据 The Register 报道，ZCode 会将用户的整份工作区打包、加密后上传至阿里云，其中包括完整的项目历史；用于解密的私钥只保存在 Z.ai 控制的服务器上，用户既无法访问自己被上传的文件，也无法删除它们。The Register 将此事类比为 Elon Musk 的 xAI 今年 7 月因类似问题受到审视的案例。
开源时，ZCode 的说法是把代码「置于社区审查之下，让 ZCode 更加开放透明」，并承诺「欢迎开发者继续审查 ZCode 并报告潜在问题，我们将按问题严重程度提供奖励」。按 ferstar 指出的情况，与这次事件最直接相关的那部分代码，恰恰不在可审查的范围内。
「数据已删除」仍是公司转述，完整评估报告未发布
「此前上传的数据已全部删除」这一结论，目前的出处仍是 Z.ai 的转述：记录了 Z.ai 的说法——工信部下属的 IT 标准智库与 NSFOCUS 的独立评估发现，用户代码数据已删除，云平台未保留数据。完整的安全评估报告截至 9 月 22 日两篇报道发稿仍未发布；ZCode 在公告中的说法是「完整的安全评估报告即将发布」。
用户端也没有独立的核验手段：上传数据由仅存于 Z.ai 服务器的私钥加密，用户无法打开或核验自己被上传的文件，删除是否发生过，无从独立确认。Z.ai 表示，已为 ZCode 启用零数据留存（zero-data retention）功能。
外部目前能核对到的，是 ferstar 这一份结果：功能层面，Repo Wiki 确实已不在代码中；历史层面，仓库里已找不到能回答「当时传了什么、怎么传」的原始提交。