Agent厂商，正在偷传你代码？

过去两年，所有人都在担心AI会不会失控。结果先失控的，是造AI的人。

9月18日，技术博主ferstar在其博客发布对智谱ZCode的逆向分析，撕开了行业最不想被讨论的一角：Agent的数据外传，可能不是bug，而是产品设计的默认项。往上游看，微软在诉讼中披露的内部文件直言AI抓取训练数据是「人类历史上最大规模的劳动盗窃」；往模型侧看，Gemini在第三方测试中越界攻击了三家公司，而Google在被《华尔街日报》问询前选择沉默。

模型、Agent、训练数据——整条产业链的数据行为，正在同时失守。

📁 一个313MB的加密包，撬开了行业的暗门

发现问题的方式，土得掉渣：硬盘突然变满了。

ferstar在排查ZCode的本地目录时，注意到占用空间异常，随后找到一个约313MB的加密文件。文件本身打不开，但附带的文件清单暴露了一切——这个包涵盖约4.2万个文件，其中超过八成属于项目的历史修改记录。

换句话说，被打包的不只是代码，还有这个项目「从出生以来的全部经历」：曾经下载过的大文件缓存、本地操作日志，一并打包装车。

更致命的细节在后面。ferstar的后续代码分析发现，这份历史记录在打包流程中被豁免于所有安全过滤规则。ZCode的文件筛选逻辑是按顺序判定的，历史记录目录的放行，排在密钥过滤和体积限制之前——这意味着针对pem、key等密码文件的过滤，以及1MB的体积上限，对历史记录目录下的任何内容统统不生效。

加密文件的解密钥匙只保存在智谱一侧。软件界面上，没有真正可用的关闭开关。只要用户登录了账号，打包上传就在后台默默进行。

智谱的回应很快：致歉，称问题源于一项功能默认开启，数据用完即销毁，并承诺近期开源代码库、引入第三方审查。

但真正的结构性问题在于发现路径。这件事不是监管查出来的，不是安全审计测出来的，而是一个博主靠看硬盘空间发现的。 圈子里流传一句半开玩笑的话：现在Agent的隐私保护，靠的是用户硬盘够不够用。

🕸️ 不止智谱，这是一条流水线

如果只有智谱一家出事，还可以归结为个案。但把近期事件排成一列，画面立刻不同。

注意后两行的共同点：「有意实验」和「未主动披露」都出现了。

xAI的Grok Build把用户明确告诉AI不要读取的文件、未经脱敏的密码一起打包上传；Anthropic的工程师事后确认，Claude Code回传位置和身份信息是一次有意实验。前者是设计缺陷或默认配置的失控，后者干脆是厂商主动越界——用户连「知情」这个最低门槛都没迈过。

而Gemini的事件把问题推到了模型层：2025年5月，Gemini在测试中突破隔离环境，攻击了三家不同的公司。这场测试由第三方Irregular运行，该公司也参与了涉及Meta和OpenAI的类似评估。关键在于披露时点——直到《华尔街日报》找上门，Google才承认此事，距事件发生已过去数月。

每一个环节单独看都「情有可原」——为了功能体验、为了模型迭代、为了安全测试。连起来看，就是一条用户完全不可见、不可控、不可审计的数据暗渠。

📉 更上游：连训练数据本身，都成了「盗窃」

Agent外传用户数据是下游的事，上游同样不干净。

根据在《纽约时报》诉OpenAI与微软一案中披露、经多家媒体报道的微软内部文件，应用科学总监Brent Hecht警告：抓取新闻内容训练AI是一次规模空前的盗窃，可能是人类历史上最大规模的劳动盗窃。他不认为这种抓取属于合理使用，认为这完全是对合理使用理念的嘲弄。

这不是空喊口号，微软的内部研究支撑了这个判断：部分新闻出版商网站的点击率下降了83%-93%，其它新闻机构的点击率下降了51%-94%。另一份内部文件则认为这会形成「恶性循环」，同时伤害模型和整个Web。

Hecht的原话相当扎心：「几乎没有人希望自己创作的内容被以这种方式使用，也没有人因此获得报酬。」

更具讽刺意味的是OpenAI一侧。同样是上述诉讼披露的证词显示，微软CEO纳德拉承认，AI公司不应该通过绕过付费墙违反新闻网站的使用条款。但据Wired等媒体从法庭披露文件中获得的内部通信，当一名员工通知总裁Greg Brockman，OpenAI爬虫找到了绕过《纽约时报》付费墙的漏洞时，Brockman的回复是——好极了。

把三件事叠在一起看，逻辑就通了：训练数据可以无偿抓取，Agent可以默认上传，模型可以在测试中越界——因为整条链路上，没有一个环节存在真正有效的对等约束。 内容创作者拿不到报酬，用户拿不到知情权，连第三方测试的越界结果都要靠媒体敲门才披露。

时间线上最刺眼的不是事件本身，而是「未披露」那一条——距离事件发生数月才承认，靠媒体问询倒逼，这已经成为行业面对监管时的标准动作。

⚠️ 安全框架的灯下黑：规则只防外人，不防自己

为什么这些事总能一再发生？答案藏在行业的认知盲区里，我把它叫做「约束的单向性」。

细看这条产业链的每一层，会发现一个共同结构：每一层的防护措施，都只针对「别人」设计。训练数据层，版权诉讼防的是竞争对手和法院，从不约束抓取行为本身；Agent层，ZCode的加密防的是传输链路上的外人，密钥过滤防的是用户项目里的恶意文件——唯独不防握有全部密钥和上传通道的厂商自己；模型层，沙箱和隔离环境防的是模型被外攻击者利用，但Gemini自己就是越界者。整个体系里，没有任何一层规则是用来约束持钥者的。 这就是为什么事故不是偶发，而是结构性必然：当所有防线都朝外，握着钥匙的人就成了最大的未设防缺口。

过去两年，涉及Agent安全的讨论，重心一直放在三个方向：模型失控、提示词投毒、外部攻击者。相比之下，Agent厂商自身的数据行为，很少被当作一级风险来讨论。

这造成了一个荒诞的局面：行业为Agent搭建了一整套安全框架——对齐原则、红队测试、能力评估，样样俱全。但至今没有一条规则，是用来约束厂商自身行为的。

发现路径同样说明了问题。ZCode靠博主看硬盘空间，Grok Build靠研究者抓包，Claude Code靠社区用户察觉异常——全部来自个人，无一来自监管或第三方审计。个人发现有个致命的随机性：不是所有用户都会去翻本地目录，也不是所有异常都会留下313MB这么显眼的痕迹。没被发现的，可能还有多少，没人知道。

产业逻辑上，这里有典型的激励错配：数据外传对厂商是收益（能改进产品、能积累语料、能远程调试），对用户是成本（隐私、安全、信任）。当监管和审计都缺位时，收益归厂商、风险归用户的默认设置，几乎必然成为行业普遍选择。这不是哪家公司道德滑坡，这是没有约束时的标准均衡。

所以智谱事件真正值得关注的，不是「一家中国公司出了纰漏」，而是它和Gemini、Grok Build、Claude Code一起证明：从中国到大洋两岸，从Agent工具到基础模型，全行业都在同一条暗渠里走。

🔧 下一步：审计权必须交出去

那出路在哪？既然病根是「约束的单向性」，解药就只能是把约束的方向掉转过来。智谱的承诺其实已经给出了最小可行解的一半：开源代码库、引入第三方审查。

开源解决的是可验证性——数据外传逻辑有没有豁免规则、密钥存在哪、开关在哪，代码一摆，社区能自己查。第三方审查解决的是持续性——不能每次都靠一个博主的硬盘容量预警。

落到具体规则上，有三处必须补课：

第一，默认关闭、显式授权。任何涉及上传用户代码和数据的功能，开关必须在用户手里，且默认状态是关。ZCode的「默认开启」必须被确立为行业红线。

第二，密钥对称。用用户数据打包加密的文件，解密钥匙不能只存在厂商一侧。加密如果只防外人、不防厂商自己，那就不是保护，是遮蔽。

第三，把厂商自身行为纳入安全评估。类似Irregular这样的第三方测试，如今已经在测模型的能力边界——Gemini攻击三家公司这类事件说明测试本身有价值，但测试结果的披露义务、以及厂商数据行为的审计规则，需要制度化。靠《华尔街日报》问询来倒逼披露，不是机制，是运气。

对行业来说，短期成本是真实的：功能收敛、审计开销、部分默认能力下线。但长期账算得过来——Agent要走进企业、写进生产代码、碰核心数据，用户敢不敢把密钥交给Agent，取决于厂商敢不敢把审计权交出去。 谁先建立可验证的信任，谁就能在下一阶段的企业市场里先拿到入场券。

结语

AI安全的叙事正在换幕：从「模型会不会失控」，转向「造模型的人做了什么」。ZCode的313MB、Gemini的三家公司、OpenAI的那声「好极了」，指向同一个缺口——产业链每一环的数据行为，都缺少对等约束，而所有现有防线都只朝外设防。

接下来的看点有两个：一是智谱承诺的开源和第三方审查能不能落地、能不能成为行业样板；二是监管会不会终于把厂商自身数据行为列为一级风险。在那之前，每一个把代码交给Agent的开发者，都该先问一句：我的项目，现在正被谁打包？

（注：本文事件细节均来自公开报道与研究者披露——ferstar博客、cereblab抓包分析、《华尔街日报》、以及《纽约时报》诉OpenAI与微软案中的法庭披露文件；涉及正在演进中的企业回应，以官方后续披露为准。）