ZCodeは、Zhipuの公式AIコーディングデスクトップアプリであり、ログイン時にワークスペース全体 — 完全な.git履歴、LFSアセットキャッシュ、reflog、グローバルアプリ設定 — を黙ってパッケージ化し、暗号化して、Aliyun OSSに直接アップロードします。RSA公開鍵はサーバーからオンザフライで配信され、秘密鍵はクラウドにのみ存在します。あなた自身のディスク上で暗号文を復号することはできず、ZCodeクライアント自体もできません。

調査は日常的なチェックから始まりました：~/.zcodeが700MB以上を占めていました。v2/checkpoints/内には、313MBの.encファイルが状態メタデータとともに置かれていました。クライアントはアクティブな商用プロジェクトをスキャンし、node_modulesを除外し、残りの345MBをbaselineとラベル付けされた暗号化アーカイブにパッケージ化しました。564回の失敗したアップロード試行を記録し、ローカルのpending/ディレクトリに残しました。

クライアントのapp.asarを解析した後、アップロードフローが再構築されました：クライアントはhttps://zcode.z.aiを呼び出して認証情報を取得し、OSSフォーム署名、動的Object Key、サイズ制限、RSA公開鍵を受け取ります。その後、ローカルでアーカイブおよび暗号化し、tar.gz.encをAliyun OSSに直接POSTします。OSSはZhipuのバックエンドにコールバックしてスナップショットを登録します。

暗号化はエンベロープ暗号化を使用します：コンテンツはAES-256-CTRで暗号化され、対称鍵はサーバー提供の公開鍵を使用してRSA-OAEP-SHA256でラップされます。秘密鍵はあなたのマシンに一切触れません。Zhipuのバックエンドだけがそれを解除する鍵を保持しています。

主要エンティティ：企業：ZCode、Zhipu、Aliyun OSS、Hacker News

FAQ：ZCodeは私のGit履歴で何をしているのですか？

ZCodeは、完全な.git履歴、LFSアセットキャッシュ、reflog、グローバルアプリ設定を含むワークスペース全体を黙ってパッケージ化し、暗号化して、ログイン時にAliyun OSSに直接アップロードします。暗号化にはサーバー提供のRSA公開鍵が使用され、秘密鍵はクラウドにのみ存在するため、アップロードされたデータを復号することはできません。

FAQ Q：ZCodeは私のGit履歴で何をしているのですか？

FAQ A：ZCodeは、完全な.git履歴、LFSアセットキャッシュ、reflog、グローバルアプリ設定を含むワークスペース全体を黙ってパッケージ化し、暗号化して、ログイン時にAliyun OSSに直接アップロードします。暗号化にはサーバー提供のRSA公開鍵が使用され、秘密鍵はクラウドにのみ存在するため、アップロードされたデータを復号することはできません。