خضعت أداة البرمجة بالذكاء الاصطناعي ZCode للتدقيق بعدما قال المدوّن التقني ferstar إن تحليلاً عكسياً كشف أن التطبيق يحمّل تلقائياً لقطات كاملة من المشاريع، بما فيها مجلد .git، إلى خدمة OSS من سحابة علي بابا في الخلفية كلما كان المستخدم مسجّل الدخول.

وفقاً لتحليل ferstar، لا تعتمد الآلية المبلّغ عنها على إجراء تحميل يدوي من المستخدم. وقال المدوّن إن العملية تبدأ ما دام المستخدم مسجّل الدخول، وإن الواجهة لا توفر إعداداً لتعطيل تحميل اللقطة نفسه.

وقال Ferstar إن إحدى لقطات المشاريع التجارية التي جرى تحديدها أثناء التحليل بلغ حجمها نحو 313MB واحتوت على قرابة 42,000 ملف. وشكلت الملفات المرتبطة بـ .git نسبة 86.6% منها، بما في ذلك كائنات سجل Git، وذاكرات الملفات الكبيرة المؤقتة في LFS، وسجلات reflog. واستناداً إلى ذلك، قد تتضمن حزمة التحميل المبلّغ عنها ليس الشيفرة الحالية فقط، بل أيضاً التزامات أقدم وملفات كبيرة تم تنزيلها سابقاً وآثار نشاط الفروع المحلية.

وذكر التحليل نفسه أن تحميل اللقطة أخفق 564 مرة وظل في قائمة انتظار محلية لإعادة المحاولة. ولم يحدد التقرير عدد المستخدمين الذين ربما تأثروا، أو ما إذا كانت عمليات التحميل قد اكتملت على نطاق واسع، أو ما إذا كانت ZCode قد غيرت هذا السلوك منذ نشر التحليل.

وتنص صياغة سياسة الخصوصية المنشورة من ZCode، بحسب ما ورد في التقرير، على أن المنتج يجمع النصوص والملفات والشيفرة التي يقدمها المستخدمون في المحادثات، لكنها لا تنص صراحة على تحميل مستودعات كاملة وسجل Git. وقال Ferstar أيضاً إن «خطة التحسين» في ZCode تكون معطلة افتراضياً، ويبدو أنها تحكم استخدام البيانات في تدريب النماذج بدلاً من تجميع اللقطات ونقلها بحد ذاتهما. وأضاف التقرير أن إيقاف هذا الخيار لا يوقف سلوك التحميل في الخلفية.

لماذا يهم الأمر

تكتسب هذه الواقعة أهمية لأن أدوات البرمجة بالذكاء الاصطناعي تعمل بشكل متزايد داخل بيئات تطوير حية، حيث قد تحتوي المستودعات على شيفرة عقود ذكية ونصوص برمجية للنشر وبنية تحتية داخلية ومواد حساسة أخرى. إن الفرق بين مدخلات المحادثة المُفصح عنها وتجميع مستودعات كاملة في الخلفية يغير بصورة جوهرية ملف المخاطر الأمنية والامتثال.

كما تضيف إلى سؤال أوسع في القطاع بشأن أدوات الذكاء الاصطناعي: هل يجري فصل ميزات الراحة وأنظمة القياس عن بُعد بوضوح كافٍ عن سير عمل التعامل مع الشيفرة؟ بالنسبة إلى فرق الشركات والفرق المتخصصة في العملات المشفرة على حد سواء، قد يعتمد تبني المنتج بدرجة أقل على جودة النموذج وحدها وبدرجة أكبر على حدود بيانات شفافة وموافقة صريحة وضوابط قابلة للتدقيق.