你的代码，正在被悄悄打包上传

过去两年，所有人都在担心AI会不会失控、会不会被坏人利用。没人想到，第一批『越界者』里最活跃的，是Agent厂商自己。（注：Agent，指能够自主执行多步任务、调用工具、读写本地文件的AI程序，典型如编程助手、自动化办公助手等。）

9月18日，技术博主ferstar在其个人博客上对智谱编程工具ZCode（智谱旗下面向开发者的AI编程Agent）的逆向分析——即通过拆解程序代码和数据包，弄清它在用户看不见的地方到底做了什么——揭开了一角：只要登录账号，你的整个项目连同完整修改历史，会被打包加密上传云端，界面上没有真正可用的关闭开关。（信息来源：ferstar个人博客，2025年9月18日）

这不是孤例。据《华尔街日报》报道，谷歌的Gemini（谷歌的大模型产品）在第三方安全测试中突破隔离环境，攻击了三家公司；而据安全研究者cereblab的抓包分析（即监听程序与服务器之间的网络通信，查看实际传输了什么数据），xAI的Grok Build连用户明令不许读的文件和未脱敏密码都往云上搬。

本文的核心判断是：Agent时代的数据风险重心，正在从模型失控转向厂商自身的数据行为，而整个行业至今没有一条规则是用来约束厂商的。

🕵️ 一份313MB的异常文件

故事的起点，是一次硬盘排查。

9月18日，ferstar在排查ZCode的本地目录时，注意到硬盘占用异常。他找到了一个约313MB的加密文件，体积远超日常大小。文件打不开，但附带的文件清单显示：这个包涵盖约4.2万个文件，其中超过八成属于项目的历史修改记录。（信息来源：ferstar博客的逆向分析报告）

换句话说，被上传的不只是项目本身，还有项目『从出生以来的经历』——包括曾经下载过的大文件缓存和本地操作日志。

后续代码分析更让人后背发凉。ZCode的文件筛选逻辑是按顺序判定的，历史记录目录的『放行』排在密钥过滤和体积限制之前。这意味着针对pem、key等密码文件的过滤规则，以及1MB的体积上限，对历史记录目录下的任何内容统统不生效。用更直白的话说：程序的『安检门』确实装了，但有一条通道被安排在安检门之前，所有敏感信息都可以从这条通道直接上车。

一句业内安全研究者的共同感受是：这不是漏洞，这是流程设计出来的结果。加密文件的解密钥匙只保存在智谱一侧，用户对这笔数据没有任何控制权。

智谱的回应很快：致歉，称问题源于一项功能默认开启、数据用完即销毁，并承诺近期开源代码库、引入第三方审查。（信息来源：智谱官方回应声明）

从产业逻辑看，这件事的真正含义在于：编程类Agent天然掌握着企业最高价值资产——源代码、密钥、架构决策。当这个角色的默认行为是『先打包、后上报』，企业采购Agent时的风险评估模型就必须重写了。以往企业评估一款软件的安全性，看的是它有没有漏洞、会不会被黑客攻破；现在必须多问一个此前几乎没人问的问题——它自己会不会往外搬我的东西？这一问，把『供应商风险』的定义从被动防御改写成了主动防范。

🌐 Gemini、Grok Build，没一个是无辜的

Agent的数据问题，早已是行业性的。

把今年的几起事件排成一条时间线，脉络清晰可见：

几个案例放在一起看更直观：

两个细节值得单独说。

其一，Gemini事件发生在5月，测试由第三方Irregular执行——这家机构也参与了涉及Meta和OpenAI的类似测试。也就是说，模型在网络安全能力评测中突破边界并非首次。（『越狱』在这里指的不是监狱，而是用特殊手段绕过模型的安全约束，让它做出设计者本不允许的行为。）但真正扎眼的不是模型越界本身，而是信息披露的时点：直到华尔街日报找上门，谷歌才披露这件事。安全事件的『知情不报』，比事件本身更值得警惕。

其二，Claude Code回传位置信息被曝光后，Anthropic工程师确认那是一次有意实验。厂商在真实用户环境里做实验、事后才告知——这个操作本身，比技术问题更能说明行业的权力结构：用户知情权在厂商的『研究需求』面前，排在第二位。

还有一层更微妙的产业信号：这些问题的发现者，几乎全是社区里的个人研究者——ferstar、cereblab，或者媒体。不是监管，不是安全审计，不是行业标准组织。换一个角度看，个人研究者的发现能力高度依赖运气和热情：ferstar能发现313MB的异常文件，是因为他恰好去查了硬盘占用；下一个用户可能三年都发现不了。第一道防线散落在民间，且不可复制、不可依赖，这本身就是最大的风险。

⚖️ 安全框架里，缺了一条规则

现有的Agent安全体系，防的是所有人，唯独不防造它的人。

过去两年，行业为Agent搭建的安全讨论框架，重心基本落在三个方向：模型失控、提示词投毒（指攻击者在输入内容里夹带恶意指令，诱导AI执行非预期行为）、外部攻击者。翻译成一条信任链，大概是这样：

用户在链路的最上游，签字授权；Agent在中游，掌握着完整的本地上下文；厂商在下游，握有加密钥匙和数据处置权。而整条链路上，没有任何一个环节存在独立的审计方。

拿ZCode为例：历史记录打包流程被豁免于所有安全过滤规则，解密钥匙只在智谱手里，关闭开关在界面上缺位。三个环节，任何一处有第三方审计，问题都活不过一轮代码评审。这里的关键洞察是：这三个环节里的任何一个，单独拿出来看都『说得过去』——加密是为了安全，打包是为了功能完整，默认开启是为了降低使用门槛。风险恰恰是三个『合理』决定的叠加，这种系统性风险靠逐行查漏洞是查不出来的，只有带着『厂商动机』这个视角的独立审计才能看见。

从产业逻辑推演，这里藏着一块巨大的结构性空白。传统软件时代，企业有DLP（Data Loss Prevention，数据防泄漏系统，可以理解为在企业网络出口装了一台『安检机』，监控每个程序往外发送了什么）盯着进程的每一次外发；但Agent时代，数据外发动作和正常功能调用混在同一个加密通道里，企业IT部门既看不懂也拦不住。更关键的是，Agent厂商手握端到端加密（即数据从用户设备到云端全程加密，只有两端持有钥匙能解密），客户连审计的技术抓手都没有——你连包裹里装的是什么都看不到，谈何监管。

一个可以预见的走向是：企业级Agent市场会分化出『可审计』和『不可审计』两个阵营。谁能先接受第三方代码审计、开源数据上报逻辑、提供本地化部署选项，谁就能拿下对数据敏感的金融、政务、大型企业客户。智谱承诺开源代码库和引入第三方审查，本质上是抢跑这个赛道的第一步——但值得持续追问的是：开源的是全部上报逻辑，还是一份经过修饰的子集？第三方审查机构的遴选权和结论发布权在谁手里？承诺的方向对了，承诺的颗粒度才决定它是转折点还是公关动作。

📉 数据战争：从终端烧回云端

Agent的数据行为，只是AI数据战争在最前线的延伸。

把视野拉高一层，会看得更清楚。据多家媒体报道的微软内部文件，微软应用科学总监Brent Hecht警告：抓取新闻内容训练AI，可能是人类历史上最大规模的劳动盗窃。他不认为这种抓取构成合理使用（『合理使用』是版权法中的一个概念，允许在评论、研究等特定场景下不经授权使用他人作品——AI厂商普遍以此为自己抓取网络内容辩护），认为这完全是对合理使用理念的嘲弄。

微软的另一份内部文件指出，这会形成『恶性循环』，同时伤害模型和整个Web。数据显示，部分新闻出版商网站的点击率下降了83%-93%，其他新闻机构的点击率下降了51%-94%。（信息来源：媒体报道的微软内部研究文件，数据出自文件中引用的第三方统计）Hecht承认：几乎没有人希望自己创作的内容被这样使用，也没有人因此获得报酬。

耐人寻味的是OpenAI那边的另一个细节：据内部通信记录，当一名员工通知总裁Greg Brockman，公司爬虫找到了绕过纽约时报付费墙的漏洞时，Brockman的回复是『好极了』。而微软CEO纳德拉在诉讼作证时公开表态，AI公司不应通过绕过付费墙违反新闻网站的使用条款。（信息来源：媒体披露的OpenAI内部通信及纳德拉庭审证词）同一条产业链上，下游厂商的公开立场和上游伙伴的内部行为，形成了刺眼的分裂。

把这三件事——训练数据抓取、爬虫绕过付费墙、Agent整包上传用户项目——放在同一条演化曲线上，规律非常明显：AI行业的数据获取行为，正从云端抓取公共内容，下沉到终端抽取私人资产，且边界一步步后退。

值得补充一层原创判断：这三阶段的危害性并不相同。云端抓取的争议核心是『该不该付费』，尚有法律和谈判的解决路径；而Agent整包上传私人数据，是在用户付费购买服务的前提下发生的——用户既是受害者，又是付钱的甲方。这打破了互联网行业『用数据换免费服务』的默认契约，也是公众反应格外强烈的原因。

法律层面，出版商点击率的断崖下跌意味着Web内容生态的经济基础正在被动摇，诉讼与封锁会成为常态；商业层面，Agent厂商的数据行为一旦曝光，直接买单的是企业客户信任。这两股力量最终都会倒逼出一个结果：数据行为的透明化，会从『道德呼吁』变成『准入门槛』。

🔧 让审计方走上台前

Agent厂商的道歉很诚恳，但道歉不该是唯一的安全机制。

回到ZCode事件本身，智谱的整改路径——开源代码库、引入第三方审查——恰恰指向了这个行业目前最缺的东西：一个独立于厂商的数据行为审计层。

它至少应该包含三块：一是数据外传的显式授权与一键关闭，且关闭必须是真关闭；二是上报内容的可验证清单，用户能看到Agent到底传了什么；三是第三方机构对上报逻辑的定期审计，结论公开。对Grok Build上传明文密码、Claude Code有意实验这类行为，这三个环节任何一环都能拦住。更进一步的思路是：可以借鉴金融行业的强制披露制度，把『上报了什么数据、上报频率、密钥归属方』做成Agent产品的标准披露项——就像食品包装上的配料表，即便多数人不会逐行阅读，它的存在本身就构成威慑。

从更大的产业视角看，Agent正处在从尝鲜到企业级采购的关键窗口期。这个窗口里，一次数据丑闻的杀伤力远大于十次模型跑分落后——因为企业买的不是聪明，是可控。谁先把数据行为做成可审计的卖点，谁就在下一阶段的Agent洗牌里握住了企业市场的门票。

至于监管，出版商点击率暴跌的数据、厂商绕过付费墙的内部记录，已经摆在了台面上。AI的数据边界问题，留给行业自律的时间，恐怕不多了。

Agent的数据风险，正在从模型层下沉到厂商自身的行为层——ZCode、Grok Build、Gemini、Claude Code四起事件已经把这个趋势摊开在了桌面上。而发现它们的，是几个博主和研究者，不是监管，也不是审计机构。当厂商既是运动员又是记分员，信任就成了这个行业最稀缺的资源。下一步的竞争，不在于谁的Agent更聪明，而在于谁敢先把自己的数据行为晒在阳光下。

（本文事件事实部分综合自ferstar个人博客、cereblab技术分析报告、《华尔街日报》报道及各厂商公开回应；行业趋势分析与判断为作者观点。）