你的代码，AI正偷偷上传云端？

谁在审计AI厂商自己？

这个问题在过去两年几乎没人认真问过。直到智谱ZCode被曝在后台把用户整个项目连同修改历史打包上传云端，直到微软内部文件把AI抓取训练数据称为人类历史上最大规模的劳动盗窃，人们才发现：行业为Agent搭建的所有安全规则，没有一条是用来约束厂商自身的。

发现这些问题的，不是监管机构，也不是安全审计，而是几个较真的个人。这才是最值得警惕的地方。

📉 一个313MB的加密文件，戳破了窗户纸

起点不是代码，是硬盘。

9月18日，技术博主ferstar在排查ZCode的本地目录时，注意到硬盘占用空间异常。他找到了一个约313MB的加密文件，体积远超日常大小。文件打不开，但附带的文件清单显示，这个包涵盖约4.2万个文件，其中超过八成属于项目的历史修改记录。

被打包的不只是项目本身，还包括项目从出生以来的全部经历：曾经下载过的大文件缓存、本地操作日志，一样不少。

后续的代码分析发现了更关键的细节。这份历史记录在打包流程中被豁免于所有安全过滤规则——ZCode的文件筛选逻辑是按顺序判定的，历史记录目录的放行，排在密钥过滤和体积限制之前。也就是说，针对pem、key等密码文件的过滤和1MB的体积上限，对历史记录目录下的任何内容都不生效。

只要用户登录了账号，这套流程就在后台自动运转，把整个工作项目连同完整的修改历史打包加密，上传至云端服务器。软件界面缺少真正可用的关闭开关，而加密文件的解密钥匙，只保存在智谱一侧。

智谱的回应很快：致歉，称问题源于一项功能默认开启，数据用完即销毁，并承诺近期开源代码库、引入第三方审查。

从产业逻辑看，这起事件的要害有三层：其一，Agent类产品的默认权限设计普遍激进，默认开启、用户无感的模式是效率优先的必然产物；其二，解密钥匙只在厂商一侧，意味着所谓加密只是传输保护，用户对自己数据的控制权实际上为零；其三，安全过滤规则被自身的打包流程绕过，说明厂商内部的安全评审根本没覆盖到新功能的全链路。

一个313MB的文件，把这些问题全部摆上了台面。

🔍 比监管更快的，是抓包的博主

圈内流传一句半开玩笑的话：现在Agent圈的安全审计，全靠几个较真的博主用爱发电。

ZCode并非孤例。不久前，独立安全研究者cereblab通过抓包分析证明，xAI的编程Agent工具Grok Build会把用户的整个项目打包上传到谷歌云存储——包括用户明确告诉AI不要读取的文件，和未经脱敏的密码。

更早些时候，Claude Code被发现在用户不知情的情况下回传位置和身份信息。事后，Anthropic的工程师甚至确认，那是一次有意实验。

把三起事件放在一起看，规律相当刺眼：

三次，没有一次是监管发现或审计发现的。全部来自社区里的个人：逆向分析、抓包、翻本地目录。

这暴露出Agent行业当前的治理结构是一片真空。针对Agent的安全讨论，过去两年的重心一直在模型失控、提示词投毒和外部攻击者上——也就是说，防御的假想敌始终是模型本身和外部坏人，厂商自己被默认为可信方。而现实是，厂商自身的数据行为，恰恰是最频繁、最大量、最难被察觉的数据外传通道。

理论上，一次规范的安全审计应该拦住这些问题：数据流向图、上传内容清单、默认权限评审，都是常规动作。但从结果看，这套流程要么不存在，要么形同虚设。当约束缺位时，厂商的理性选择必然是功能优先、隐私靠后——ZCode那个历史记录目录绕过所有过滤规则的设计，就是最好的注脚。

⚖️ 微软内部文件，捅破的是另一层纸

如果说ZCode暴露的是产品侧的数据行为，微软的内部文件暴露的则是行业地基的问题。

根据内部文件，微软应用科学总监Brent Hecht警告，抓取新闻内容训练AI是一次规模空前的盗窃，可能是人类历史上最大规模的劳动盗窃。他不认为抓取新闻内容训练AI构成合理使用，认为这种做法完全是对合理使用理念的嘲弄。

数据支撑着这个判断。微软的数据指出，部分新闻出版商网站的点击率下降了83%-93%，其它新闻机构的点击率下降了51%-94%。ChatGPT类产品正在实质性掏空内容生产者的经济基础。

Hecht承认，几乎没有人希望自己创作的内容被以这种方式使用，也没有人因此获得报酬。微软的另一份文件还指出，这会形成恶性循环，同时伤害模型和整个Web——当内容创作者失去收入，高质量训练数据的源头就会枯竭。

更值得玩味的是微软内部的口径分裂。一方面，CEO纳德拉在作证时表示，AI公司不应该通过绕过付费墙违反新闻网站的使用条款；另一方面，OpenAI的内部信息显示，当一名员工通知总裁Greg Brockman，OpenAI的爬虫找到了绕过《纽约时报》付费墙的漏洞时，Brockman的回复是好极了。

对外的合规表态，对内的效率优先——这和ZCode界面上没有关闭开关、后台默认上传，是同一种组织行为逻辑。

把两件事连起来看，产业判断就很清晰了：数据行为的灰色地带不是个别公司的疏失，而是整个行业增长模式的一部分。训练数据靠抓取，Agent运行数据靠上传，两头都以用户和创作者的不知情为前提。当增长故事讲完、合规成本必须支付时，这个账单不会小。

🕳️ 管住了用户，没人管厂商

现行Agent安全框架的全部箭头，都指向了错误的方向。

过去两年，行业给Agent叠了一层层防御：防提示词投毒、防模型越权、防外部攻击者。这些规则有一个共同点——约束的对象要么是模型，要么是外部威胁，唯独没有厂商自己。至今没有一条规则，是用来约束Agent制造商自身数据行为的。

当前的治理链条实际上长这样：

整条链路的起点是个人研究者的自发行为。这意味着发现率取决于有多少人愿意花时间逆向一个产品，而不是取决于制度本身。曝光之后，厂商的回应模板也高度一致：默认开启、用完即销毁、承诺开源、引入第三方审查——先道歉，再承诺，规则依然缺位。

对照一下成熟的软件行业，会发现问题所在。传统软件处理用户数据，有明确的法律约束和行业标准：数据最小化、目的限定、用户可关闭、第三方可审计。而Agent产品当前的状态是：默认全量上传、解密钥匙厂商独占、关闭开关缺失、审计靠博主。

从产业演进的角度看，这个空白大概率会以三种方式被填补。第一，第三方审计会成为Agent产品的标配能力，智谱承诺的开源代码库和第三方审查，很可能不是姿态，而是企业客户采购前尽调的硬性要求提前到来了。第二，数据行为的透明度会变成竞争分水岭——当安全事件足够多，本地化处理、可验证不上传会从卖点变成门槛。第三，训练数据与Agent运行数据的合规框架会逐步显性化，微软内部文件暴露的口径分裂说明，行业内部已经清楚问题在哪，缺的只是外部压力。

换句话说，Agent厂商今天在数据行为上的每一分侥幸，都是未来合规成本里的负债。

💡 信任，会是Agent的下一个分水岭

Agent的竞争，正在从谁的模型强，转向谁的数据行为经得起看。

回看这轮风波的时间线：

更早些时候 ： ]被曝回传位置与身份信息

不久前 ： ]被曝整包上传用户项目至云端

9月18日 ： ]逆向分析曝光ZCode上传行为

随后 ： ]致歉并承诺开源与第三方审查

三起事件、三家公司，指向同一个结构性问题：Agent制造商本身，已经成了最大的数据外传来源，而行业对此没有任何制度性约束。一边是产品侧的整包上传，一边是训练侧的付费墙穿透，再叠加微软数据里新闻网站51%-94%的点击率流失，数据链条上每一个环节的合法性都经不起细看。

接下里最值得盯的信号有三个：智谱是否真的按时开源并完成第三方审查；Agent产品会不会开始把数据本地化、默认关闭上传作为显性卖点；以及针对Agent厂商数据行为的监管规则，什么时候从空白变成条文。谁能率先把数据行为做成可验证的透明能力，谁就能在企业市场拿到信任溢价——在B端生意里，信任从来比功能贵。

风暴的中心还没到。目前所有问题都靠博主和研究者倒逼曝光，制度性的审计机制一天不建立，下一个313MB的加密文件，就还会出现在某块硬盘上。