安全调查显示，Zhipu开发的AI编程桌面应用ZCode会自动将整个工作区（包括完整的.git历史记录、LFS资产缓存和全局应用配置）打包并上传至阿里云OSS。

这些数据使用服务器专有的RSA公钥进行加密，只有Zhipu的后端能够解密。

作者发现，即使用户关闭了‘优化体验’和‘仓库快照索引’等设置，上传过程仍会持续进行，只要用户保持登录状态。

调查通过本地取证和逆向工程app.asar文件重建了上传流程。

为防止此类情况发生，作者建议使用文件系统不可变性标志来锁定检查点目录。