La herramienta de programación con IA ZCode ha sido objeto de escrutinio después de que el bloguero técnico ferstar afirmara que un análisis inverso detectó que la aplicación carga automáticamente instantáneas completas de proyectos, incluida la carpeta .git, en Alibaba Cloud OSS en segundo plano siempre que un usuario ha iniciado sesión.

Según el análisis de ferstar, el mecanismo comunicado no depende de una acción de carga manual por parte del usuario. El bloguero afirmó que el proceso se inicia mientras el usuario tenga la sesión iniciada y que la interfaz no ofrece ningún ajuste para desactivar la carga de la instantánea en sí.

Ferstar indicó que una instantánea de un proyecto comercial identificada durante el análisis tenía aproximadamente 313MB y contenía unos 42.000 archivos. De ellos, los archivos relacionados con .git representaban el 86,6%, incluidos objetos del historial de Git, cachés de archivos grandes de LFS y reflogs. Sobre la base de ese hallazgo, el paquete de carga comunicado podría incluir no solo el código actual, sino también commits antiguos, archivos grandes descargados previamente y rastros de actividad de ramas locales.

El mismo análisis señaló que la carga de la instantánea había fallado 564 veces y permanecía en cola localmente para volver a intentarlo. El informe no determinó cuántos usuarios pudieron verse afectados, si las cargas se completaron de forma generalizada ni si ZCode ha modificado el comportamiento desde la publicación del análisis.

Según se describe en el informe, el texto publicado de la política de privacidad de ZCode indica que el producto recopila texto, archivos y código enviados por los usuarios en conversaciones, pero no dice explícitamente que se carguen repositorios completos e historiales de Git. Ferstar también afirmó que el «plan de optimización» de ZCode está desactivado de forma predeterminada y parece regular el uso de datos para el entrenamiento de modelos, en lugar del empaquetado y la transferencia de instantáneas en sí. El informe indicó que desactivar esa opción no detiene el comportamiento de carga en segundo plano.

Por qué importa

El episodio importa porque las herramientas de programación con IA se integran cada vez más en entornos de desarrollo activos, donde los repositorios pueden contener código de contratos inteligentes, scripts de despliegue, infraestructura interna y otros materiales sensibles. La diferencia entre las entradas conversacionales divulgadas y el empaquetado completo de repositorios en segundo plano modifica sustancialmente el perfil de seguridad y cumplimiento normativo.

También se suma a una cuestión más amplia del sector en torno a las herramientas de IA: si las funciones de comodidad y los sistemas de telemetría están lo suficientemente separados de los flujos de trabajo de gestión de código. Tanto para equipos empresariales como para equipos nativos del ecosistema cripto, la adopción de productos puede depender menos de la calidad del modelo por sí sola y más de límites de datos transparentes, consentimiento explícito y controles auditables.