你的代码，正被Agent偷传？

程序员敲了几个月的代码，连同每一次修改记录、每一份密钥缓存，被加密打包悄悄传上了云端——而他本人毫不知情。

这不是黑客攻击，也不是提示词投毒。干这件事的，是他每天在用的Agent工具本身。

过去两年，行业讨论Agent安全，重心一直放在模型失控、外部攻击和数据投毒上。但智谱ZCode事件把一个更尴尬的问题摆上了桌：Agent制造商自己，可能就是数据外传的源头。

而行业至今没有一条规则，是用来约束厂商自身数据行为的。

🕵️ 起点：313MB的加密包

所有故事，都从一块异常的硬盘开始。

9月18日，技术博主ferstar在排查ZCode的本地目录时，注意到硬盘占用空间不对劲。他找到了一个约313MB的加密文件，体积远超日常水平。

文件打不开。但附带的文件清单暴露了一切：这个包涵盖约4.2万个文件，其中超过八成是项目的历史修改记录。

也就是说，被打包的不只是项目本身，还有这个项目"从出生以来的全部经历"——曾经下载过的大文件缓存、本地操作日志，一并装了进去。

更狠的在后面。ferstar的代码分析发现，这份历史记录在打包流程中被豁免于所有安全过滤规则。

ZCode的文件筛选逻辑是按顺序判定的：历史记录目录的放行，排在密钥过滤和体积限制之前。这意味着，针对pem、key等密码文件的过滤、1MB的体积上限，对历史记录目录下的任何内容统统不生效。

翻译一下：你以为是保护措施的每一道闸门，在这条通道上全部敞开。

而这一切的前提只有一个——用户登录了账号。只要登录，后台就把整个工作项目连同完整修改历史打包加密，上传至云端服务器。软件界面里，找不到一个真正可用的关闭开关；加密文件的解密钥匙，只保存在智谱一侧。

用户的代码上了别人的服务器，钥匙还在别人手里。这不是数据泄露，这是数据单向透明。

事件曝光后，智谱很快致歉，称问题源于一项功能默认开启，数据用完即销毁，并承诺近期开源代码库、引入第三方审查。

但正如素材所示，ZCode暴露的问题，早已不是行业孤例。

🌊 不是孤例：三起事件的同一条裂缝

当一件事连续发生三次，它就不是意外，而是模式。

把时间线拉出来看，画风相当一致：

不久前，独立安全研究者cereblab通过抓包分析证明，xAI的编程Agent工具Grok Build会把用户的整个项目打包上传到谷歌云存储——包括用户明确告诉AI不要读取的文件，和未经脱敏的密码。

用户亲口说了"别看这个文件"，工具照看不误，还打包带走了。

更早些时候，Claude Code被发现在用户不知情的情况下回传位置和身份信息。最耐人寻味的是后续：Anthropic的工程师事后确认，那是一次有意实验。

三起事件，三家厂商，同一个结构：

据多位接近安全社区的人士观察，这类问题的发现路径高度雷同：没有一个来自监管检查，没有一个来自厂商自己的安全审计，全部来自社区里的个人。

一位抓包研究者的原话流传很广：厂商的安全白皮书写得越厚，抓包时看到的裸奔行为就越多。

这背后的产业逻辑并不复杂。Agent要变聪明，就需要更多上下文；更多上下文意味着更大的数据诱惑。在"让产品更聪明"和"让用户更安心"之间，厂商默认选择了前者，且默认不告诉你。

默认开启、界面无开关、钥匙单方持有、过滤规则对上传通道失效——这四件事拼在一起，构成了一个完整的"厂商侧数据外传"模板。

📉 往上游看：数据盗窃是一场更大的风暴

Agent偷传你的代码，只是数据争夺战的最下游。

把镜头拉远，微软内部的一场比赛正在给出更宏大的注脚。

根据内部文件，微软应用科学总监Brent Hecht发出警告：抓取新闻内容训练AI，是一次规模空前的盗窃，可能是人类历史上最大规模的劳动盗窃。他不认为这种抓取属于合理使用，认为这种做法"完全是对合理使用理念的嘲弄"。

微软的另一份文件则指出，这会形成"恶性循环"——同时伤害模型和整个Web。

数字触目惊心：

微软的数据显示，OpenAI的产品如ChatGPT可能危及新闻出版商的经济基础，而OpenAI和微软的数据都证明这一预测是正确的——用户不再点开新闻网站，直接问AI要答案。

Hecht承认："几乎没有人希望自己创作的内容被以这种方式使用，也没有人因此获得报酬。"

微软CEO纳德拉（Satya Nadella）在作证时表态，AI公司不应该通过绕过付费墙违反新闻网站的使用条款。

但OpenAI的内部信息给出了另一副面孔：当一名员工通知总裁Greg Brockman，OpenAI爬虫找到了绕过《纽约时报》付费墙的漏洞时，Brockman的回复是——好极了。

CEO说不能绕付费墙，总裁为绕过付费墙叫好。这不是某一个人的问题，这是整个行业的数据饥渴。

把这条线和ZCode事件连起来看，逻辑就通了：上游，模型公司抓取人类创作的新闻、书籍、代码，不付报酬；下游，Agent工具抓取单个用户的整个项目，不加告知。 两端指向同一个问题——数据的使用者，从没把自己当成需要被约束的一方。

区别只在于规模。上游偷的是整个人类的劳动成果，下游偷的是你一个人的项目目录。

🕳️ 审计真空：规则管不到厂商自己

最讽刺的不是厂商犯错，而是没人有权查他们。

盘点一下现状：针对Agent的安全讨论，议题清单上写满了模型失控、提示词投毒、外部攻击者。厂商自身的数据行为？长期不在一级风险名单上。

目前行业为Agent搭建的安全框架里，至今没有一条规则，是用来约束厂商自身行为的。

数据行为的责任链条，现在长这样：

过滤规则形同虚设，监管框架没有覆盖，唯一能戳破这层窗户纸的，是几个拿着抓包工具的个人研究者。

这套结构的脆弱性显而易见。ferstar能发现ZCode，是因为他恰好去查了硬盘占用；cereblab能发现Grok Build，是因为他恰好抓了包。有多少没被"恰好"发现的行为，正在各家厂商的后台安静运行，没有人知道。

值得肯定的是，智谱在事发后的回应给出了一部分答案：开源代码库、引入第三方审查。这两步如果落地，意味着数据行为第一次被放到阳光下。

但这不应该依赖厂商的事后自觉。一个可用的审计框架，至少应该包含这几层：

默认关闭而非默认开启，授权粒度到文件而非整个项目，上传行为对用户可见，审计方独立于厂商——缺任何一环，"用完即销毁"的承诺都只是一句无法验证的话。

据业内流传的说法，已有Agent厂商内部讨论把"数据行为透明度"作为产品卖点。这说明市场已经在倒逼，但市场倒逼的速度，通常追不上数据外传的速度。

写在最后

从ZCode打包上传整个项目，到Grok Build带走用户禁止读取的文件，再到微软高管口中"人类历史上最大规模的劳动盗窃"——这条线索从头到尾指向同一个事实：AI行业的数据获取，长期处于自我授权状态。

而每一次问题的曝光，靠的都不是监管、不是审计，而是几个较真的个人。

Agent要走进千行百业，数据行为的可审计性就是地基。地基不补，谈什么企业级落地、谈什么信任，都是空中楼阁。

智谱承诺的开源和第三方审查，是试金石也是分水岭——如果厂商们纷纷跟上，Agent安全叙事将迎来一次真正的升级；如果又是雷声大雨点小，那么下一次被抓包的，可能就是你正在用的那款工具。

你的代码上了谁的云端，钥匙在谁手里——这个问题，值得每一个开发者现在就问一遍。