A ferramenta de programação com IA ZCode está sob escrutínio depois de o blogueiro técnico ferstar ter afirmado que uma análise reversa concluiu que a aplicação carrega automaticamente, em segundo plano, instantâneos completos de projetos, incluindo a pasta .git, para o Alibaba Cloud OSS sempre que um utilizador tem sessão iniciada.

Segundo a análise de ferstar, o mecanismo reportado não depende de uma ação manual de carregamento por parte do utilizador. O blogueiro afirmou que o processo começa desde que o utilizador tenha sessão iniciada e que a interface não oferece nenhuma definição para desativar o próprio carregamento do instantâneo.

Ferstar afirmou que um instantâneo de um projeto comercial identificado durante a análise tinha cerca de 313 MB e continha aproximadamente 42.000 ficheiros. Destes, os ficheiros relacionados com .git representavam 86,6%, incluindo objetos do histórico Git, caches de ficheiros grandes LFS e reflogs. Com base nessa conclusão, o pacote de carregamento reportado poderá incluir não só o código atual, mas também commits antigos, ficheiros grandes descarregados anteriormente e vestígios de atividade de ramificações locais.

A mesma análise indicou que o carregamento do instantâneo falhou 564 vezes e permaneceu em fila localmente para nova tentativa. O relatório não determinou quantos utilizadores poderão ter sido afetados, se os carregamentos foram concluídos de forma generalizada ou se a ZCode alterou o comportamento desde a publicação da análise.

A redação publicada da política de privacidade da ZCode, conforme descrita no relatório, afirma que o produto recolhe texto, ficheiros e código submetidos pelos utilizadores em conversas, mas não diz explicitamente que repositórios inteiros e o histórico Git são carregados. Ferstar afirmou também que o «plano de otimização» da ZCode está desativado por defeito e parece regular a utilização de dados para treino de modelos, e não o próprio empacotamento e transferência dos instantâneos. O relatório indicou que desativar essa opção não interrompe o comportamento de carregamento em segundo plano.

Porque é importante

O caso é relevante porque as ferramentas de programação com IA estão cada vez mais integradas em ambientes de desenvolvimento ativos, nos quais os repositórios podem conter código de contratos inteligentes, scripts de implementação, infraestrutura interna e outros materiais sensíveis. A diferença entre dados de conversação divulgados e o empacotamento completo de repositórios em segundo plano altera materialmente o perfil de segurança e conformidade.

Também reforça uma questão mais ampla no setor das ferramentas de IA: se as funcionalidades de conveniência e os sistemas de telemetria estão a ser separados de forma suficientemente clara dos fluxos de trabalho de tratamento de código. Tanto para equipas empresariais como para equipas nativas de cripto, a adoção do produto poderá depender menos apenas da qualidade do modelo e mais de limites de dados transparentes, consentimento explícito e controlos auditáveis.