ZCode, aplikasi desktop coding AI resmi dari Zhipu, diam-diam mengemas seluruh workspace Anda — riwayat .git lengkap, cache aset LFS, reflog, dan konfigurasi aplikasi global — mengenkripsinya, dan mengunggahnya langsung ke Aliyun OSS saat Anda masuk. Kunci publik RSA dikirim secara langsung oleh server, sementara kunci privat hanya berada di cloud. Anda tidak dapat mendekripsi ciphertext di disk Anda sendiri, dan klien ZCode sendiri juga tidak bisa.

Investigasi dimulai dengan pemeriksaan rutin: ~/.zcode memakan lebih dari 700MB. Di dalam v2/checkpoints/, file .enc berukuran 313MB berada di samping metadata status. Klien memindai proyek komersial yang aktif, mengecualikan node_modules, dan mengemas 345MB sisanya menjadi arsip terenkripsi berlabel baseline. Klien mencatat 564 upaya unggah yang gagal, meninggalkannya di direktori pending/ lokal.

Setelah membuka app.asar klien, alur unggah direkonstruksi: klien memanggil https://zcode.z.ai untuk kredensial, menerima tanda tangan formulir OSS, Object Key dinamis, batas ukuran, dan kunci publik RSA. Kemudian mengarsipkan dan mengenkripsi secara lokal, mengirim tar.gz.enc langsung ke Aliyun OSS. OSS memanggil balik ke backend Zhipu untuk mendaftarkan snapshot.

Enkripsi menggunakan enkripsi envelope: konten dienkripsi dengan AES-256-CTR, dan kunci simetris dibungkus menggunakan RSA-OAEP-SHA256 dengan kunci publik yang disediakan server. Kunci privat tidak pernah menyentuh mesin Anda. Hanya backend Zhipu yang memegang kunci untuk membukanya.

Entitas Utama: Perusahaan: ZCode, Zhipu, Aliyun OSS, Hacker News