AI编程迅猛发展，数据安全如何保障？

近期，一场围绕“代码上传”的隐私风波，将中国大模型领域的领军企业智谱推至舆论的风口浪尖。

此前，社交媒体上爆出一则惊人消息：智谱（2513.HK）旗下的AI编程工具ZCode，被指未经用户明确许可，便“静默上传”用户的编程开发数据至第三方云服务器。有技术领域的知名博主发文指出，一旦用户登录ZCode账号，该软件便会在后台悄无声息地将用户整个项目工作区，连同其背后的完整信息文件夹，进行打包加密后上传至云端。这些打包文件中，几乎全是企业的核心资产。

更令开发者们震惊的是，即便他们在ZCode的设置界面中手动关闭了数据上传开关，后台进程却仍在持续上传数据，这一行为无疑加剧了开发者们对数据安全的担忧。

此事在开发者群体中引发了广泛关注和热烈讨论。9月18日，智谱迅速发布声明，对数据隐私争议作出回应。智谱解释称，争议源于ZCode的一个名为“代码库索引”的功能，该功能在上线后即为默认开启状态。智谱同时强调，上传的数据仅用于在云端生成RepoWiki（代码仓库知识库）页面，并会随后被销毁，不会进行保存。公司已就此向受影响的用户致以诚挚的歉意，并表示后续将开源ZCode代码库，以增加透明度。

9月21日，徽声在线记者独家获悉，ZCode已正式宣布开源。针对此前暴露出的问题，智谱在完成整改后，邀请了中国信息通信研究院和绿盟科技进行安全审计。目前，安全整改工作已经完成，智谱表示愿意持续接受外界的监督，以确保用户数据的安全。

智谱。本文图片 视觉中国

“默认开启”现象在行业内普遍存在

9月19日，太原承明科技有限公司正式向北京智谱华章发出函件，要求其就数据删除、私钥保管以及是否发生跨境传输等问题作出书面说明，并保留索赔与诉讼的权利。承明科技称，经公司技术部门独立取证确认，ZCode的上传行为是自动触发、批量发生的，所涉数据远不止普通的“代码片段”，而是包含了项目完整源代码、系统架构设计、版本控制全量历史、数据库访问口令、云服务权限凭证以及员工个人信息等在内的完整归档文件，这明显超出了ZCode《隐私政策》中载明的收集范围。

回顾此次争议，其背后的核心原因在于“默认开启的代码库采集功能”。快思慢想研究院院长、特邀评论员田丰向徽声在线记者介绍，这其实是行业内的普遍现象，并非某一家公司的产品疏漏。

他分析指出，这类设计大概率并非出于恶意收集数据的动机，而是产品团队在功能设计时，将“索引数据”当成了普通的产品特性，没有按照数据出域的规格去走安全评审流程，从而导致了这一争议的发生。

人工智能研究者、天使投资人郭涛则向记者表示，此事表面上看是产品交互设计的疏漏，但背后折射出的是AI编程赛道普遍存在的合规伦理短板。他指出，在赛道高速扩张的阶段，厂商往往优先迭代产品能力，将功能落地置于数据安全之前。许多产品的默认配置倾向于最大化获取本地项目数据，以降低AI读取代码的使用门槛，而将数据选择权后置交给用户，这无疑增加了数据泄露的风险。

类似的情况并非只在国内发生。此前，OpenAI Codex CLI就曾被安全研究机构Backslash曝光存在安全隐患。攻击者在项目AGENTS.md配置文件中嵌入指令，Agent在非交互执行模式下会悄无声息地将开发者本地的密钥信息发送出去，而终端输出看起来完全正常。配置文件和索引流程被默认信任，却没有获得与代码本身同等级别的审计，这是这一工具品类目前普遍存在的空白。

一位AI从业者告诉记者，相较于人工编写代码，AI生成代码的安全隐患具有特殊性。首先，模型输出存在概率性，可能会无意识地带出训练集中泄露的密钥、接口凭证等，造成隐性数据搬运。其次，AI批量生成代码的速度快，漏洞容易被规模化输出，企业很难依靠传统的人工评审完成校验。再者，Agent具备自动执行能力，一旦拿到项目权限，便可批量修改文件，若被恶意利用，对生产系统的破坏力将远高于普通开发工具。

在郭涛看来，目前多数厂商并没有把最小必要原则前置到产品立项阶段，默认上传数据并非个案。同时，行业缺少统一落地的标准，对本地索引与云端上传的边界界定模糊，厂商自主裁量的空间很大。这一矛盾不会仅仅局限于单家企业，随着越来越多企业开发人员采用AI编程工具，若行业不主动规范产品默认策略，同类数据隐私争议还会持续爆发。

海内外AI编程安全隐患频发，引发关注

值得注意的是，AI Coding（AI编程）领域频频被曝出安全隐患，这在海内外都不鲜见。AI编程的核心是利用人工智能技术和工具来辅助或自动化软件开发过程，然而，这一过程中却隐藏着诸多安全隐患。

此前，工业和信息化部网络安全威胁和漏洞信息共享平台（NVDB）监测发现，AI编程工具Claude Code存在安全后门隐患，危害严重。Claude Code是美国Anthropic公司开发的AI编程工具，可根据文字需求自主完成代码编写、修复等工作。然而，由于其内置监控机制，未经用户同意即可向远程服务器回传用户地域、身份标识等敏感信息，受影响的Claude Code版本为2.1.91至2.1.196。

Claude Code

GitHub则宣布，自4月24日起，Copilot Free、Pro和Pro+用户的输入、输出、代码片段及相关上下文，默认可用于模型训练和改进，用户可在设置中选择退出。这一举措虽然为用户提供了一定的选择权，但也引发了关于数据隐私和安全的进一步讨论。

Cursor也披露其代码库索引功能默认开启，会扫描用户打开的代码目录，并将代码库索引信息同步至服务器。此外，Cursor此前还修复过一起高危逻辑漏洞，恶意Agent可通过修改文本文件绕过原有保护规则，读取本应被排除的敏感文件，这再次凸显了AI编程工具在安全方面的脆弱性。

据业内人士向徽声在线记者介绍，现行《个人信息保护法》《数据安全法》明确要求数据收集遵循最小必要、同意原则，不能在用户不知情的情况下过度采集数据，商业源码也属于受保护的商业秘密。然而，在实际操作中，这些原则却往往难以得到严格执行。

但难点在于：AI桌面客户端不同于传统手机App，缺乏像移动端App那样常态化的上架前检测机制。软件打包分发后，客户端底层行为藏在二进制代码内部，普通用户很难自行发现静默上传逻辑，监管也难以主动穿透、提前发现这类隐蔽的客户端后门。大多只能等到事件曝光之后才介入核查，属于事后追责模式，这无疑增加了数据泄露的风险和治理的难度。

这也意味着，在AI时代，新型产品的数据隐私与入口安全问题，已成为行业面临的最新挑战，需要各方共同努力来应对。

9月20日深夜，智谱MaaS（模型即服务）平台宣布，将上线“数据内容不留存”功能。生效后，用户输入和输出的数据仅用于完成当次模型调用，不做静态存储。这一举措无疑为用户数据的安全提供了更有力的保障。

建投通信研报认为，对于金融、政企、代码等高敏感场景，客户真正关注的是原始Prompt、模型Output和代码是否会在平台侧长期保存。此次MaaS进一步提供数据不留存选项，相当于从制度承诺升级为产品级能力，有望降低大客户采购API和Agent产品时的数据合规门槛，促进AI编程工具的更广泛应用。

审计与安全披露应成为行业常态

站在产业长期健康发展的角度，田丰认为国内AI编程生态应当确立两条基础共识：数据采集默认关闭、需用户主动确认；审计与安全披露常态化。这需要头部厂商、企业客户和监管方共同参与，无法单靠个别企业的自我约束完成。

他表示，行业共识可借鉴此前几代计算范式走过的路径：从默认信任逐步过渡到默认最小权限。从大型机到PC互联网，再到移动互联网，每一代计算范式早期通常都是默认开放，出问题后再逐步收紧权限。操作系统和浏览器之所以能发展出今天的权限弹窗、沙箱隔离机制，也是经历多轮安全事件后才逐渐定型。AI编程工具眼下正处于类似的早期阶段，行业主动把这条经验前置，能够减少重复付出同样的学习成本，促进AI编程工具的健康发展。

田丰建议，可考虑将涉及源代码、密钥等企业级敏感数据的自动采集功能，纳入现行数据合规监管框架的延伸适用范围，参照个人信息保护领域已经确立的“默认关闭、显式同意”原则，对同类企业数据场景给出对应合规指引。同时，鼓励建立行业层面的事件响应时限规范和常态化审计公示机制，形成一条统一、可预期的合规路径以证明整改到位，减少企业各自应对时的重复成本，也减少用户单纯依靠自行监测才能发现问题的局面。

郭涛向徽声在线记者表示，未来一至两年，AI编程工具赛道最值得警惕的重大安全事件，并非单纯的代码泄露，而是借助编程智能体作为跳板入侵企业内部生产环境。AI编程工具深度对接企业代码仓库与内网开发环境，一旦权限管控失效，恶意指令便可驱动工具批量读取仓库密钥、配置文件，自动完成代码修改、提交部署，形成自动化攻击链路，这对企业的生产安全将构成严重威胁。

其次是供应链层面的风险：大量企业复用AI生成组件，模型内置的隐性漏洞会通过开源代码快速扩散至成千上万企业系统，形成跨企业的群体性安全事故。不同于普通大模型对话内容泄露，编程智能体风险直接传导至生产业务，事件一旦爆发，造成的产业损失和影响范围将显著大于普通大模型安全事故，因此必须引起高度重视。