الملخص:
أين يتم تجميع بيانات المستخدم وتحميلها بواسطة Zhipu؟ مباشرة بعد اعتذار Zhipu، تحول الجدل حول "نقل البيانات المسروقة" من ZCode إلى "تصدير البيانات".
واجهة ZCode
في مساء يوم 19 سبتمبر، كشفت شركة Taiyuan Chengming Technology Co., Ltd. (المشار إليها فيما يلي باسم "Chengming Technology") رسميًا عن رسالة مرسلة إلى شركة Beijing Zhipu Huazhang Technology Co., Ltd. (المشار إليها فيما يلي باسم "Zhipu")، تكشف عن مزيد من المعلومات حول مشكلة تحميل بيانات قاعدة التعليمات البرمجية المتعلقة بـ ZCode، أداة برمجة الذكاء الاصطناعي الخاصة بشركة Zhipu، وذكرت أنها تحتفظ بالحق في اتخاذ المزيد من الإجراءات القانونية.
هل تم سرقة الأصول الأساسية للمشروع بأكمله تقريبًا؟
من المفهوم أن الحادث يمكن إرجاعه إلى 18 سبتمبر. في الصباح الباكر من ذلك اليوم، نشر فرستار، وهو مطور فردي، في منتدى التكنولوجيا أنه عثر على حزمة مضغوطة مشفرة بحجم 313 ميجابايت محليًا. أظهر ملف الحالة أن الملف يتضمن تقريبًا جميع الأصول الأساسية لمشروع تجاري 10G. ومع ذلك، بسبب فشل التحميل، فقد توقف محليًا وفشل 564 مرة حتى تم اكتشافه.
بعد عكس عميل ZCode، اكتشف Ferstar أنه عندما يقوم المستخدم بتسجيل الدخول، سيقوم العميل بإنشاء لقطة لمساحة العمل، بما في ذلك سجل إصدارات Git الكامل، وذاكرة التخزين المؤقت LFS، وإعادة التسجيل والمحتويات الأخرى، والتي سيتم تشفيرها محليًا وتحميلها إلى Alibaba Cloud OSS بواسطة Zhipu.
ذكر المطور أيضًا أن مفتاح RSA العام المستخدم في عملية التشفير يصدر عن الخادم. لا يمكن فك حزمة التشفير التي تم إنشاؤها محليًا بواسطة المستخدم أو العميل نفسه. تكون آلية التحميل قيد التشغيل دائمًا بشكل افتراضي، ولا يوجد مفتاح في واجهة العميل يمكنه إيقاف تشغيلها فعليًا.
تمت استعادة رابط تحميل ZCode بواسطة Ferstar
بعد نشر المقال، سرعان ما جذب الانتباه. وقد نجح العديد من المستخدمين في إعادة إنتاجها بطريقة فيرستار، مما يؤكد وجود الآلية.
في فترة ما بعد الظهر من ذلك اليوم، اعتذر Zhipu من خلال مجموعة مستخدمي ZCode. أوضح Zhipu أن المشكلة تنبع من وظيفة "فهرس قاعدة التعليمات البرمجية" الخاصة بـ ZCode، والتي تُستخدم لدعم استعادة نقاط تفتيش الجلسة، واستعادة الإصدار التاريخي، وRepo Wiki (موسوعة المستودعات) ووظائف أخرى. قد يؤدي Repo Wiki إلى تحميل بيانات المستودع عند إنشاء الصفحات.
صرح Zhipu أنه نظرًا لأن هذه الوظيفة تم تمكينها افتراضيًا في المرحلة الأولى من الإطلاق، فقد تأثر بعض المستخدمين، لذلك نحن آسفون بشدة
. ومع ذلك، وعد Zhipu أنه بعد إنشاء صفحة Wiki في السحابة، سيتم "تدمير البيانات ذات الصلة التي تم تحميلها على الفور ولن يتم حفظها"، وقال إنه تم إصلاح المشكلة ذات الصلة.كما أعلنت شركة Zhipu أنها ستفتح المصدر لقاعدة أكواد ZCode في المستقبل القريب، وتقدم مقيمين خارجيين لمراجعة تشغيل النظام، وتزود جميع المستخدمين بإعادة تعيين الحصص الأسبوعية الإضافية.
اعتذر ZCdoe داخل مجموعة المستخدمين. صورة من صفحة تكنولوجيا المعلومات الرئيسية
يشتبه في تدفق البيانات إلى سنغافورة
ومع ذلك، شككت شركة Chengming Technology في نطاق التحميل الفعلي واتجاه التدفق وما يسمى بوقت إصلاح بيانات الطيف الذكي.
ذكرت شركة Chengming Technology في الرسالة أنه من خلال مجموعة الأدلة الفنية الخاصة بها، تم اكتشاف أنه في الفترة من 28 أغسطس إلى 14 سبتمبر، تم تحميل أكثر من 6 مساحات عمل خاصة بالشركة إلى السحابة بواسطة ZCode، حيث يصل حجم أكبرها إلى 391.94 ميجابايت.
بالإضافة إلى ذلك، يتم حاليًا تجميع مساحة عمل مشروع آخر لشركة Chengming Technology، ولكن نظرًا لفشل 32 عملية تحميل، لم يتم تسليمها بنجاح إلى Zhipu Cloud، لذلك تظل محلية ولم يتم حذفها. "يعد هذا الموقف كافيًا لإثبات أن سلوك المعالجة الخاص بشركتك يتم تشغيله تلقائيًا ويحدث على دفعات، ولا يعتمد على أي موافقة صريحة أو ضمنية من الشركة."
حساب Chengming Technology Douyin
أشارت Chengming Technology إلى أن المحتوى الذي تم تحميله لم يكن "مقتطف تعليمات برمجية" كما أسمته Zhipu رسميًا، ولكنه ملف أرشيف كامل، بما في ذلك كود المصدر الكامل للمشروع وتصميم بنية النظام، وتاريخ التحكم الكامل في الإصدار (بما في ذلك الإرسال التاريخي المحذوف والسجلات المرجعية)، وكلمات مرور قاعدة البيانات، ومفاتيح الواجهة، وبيانات اعتماد وشهادات الخدمة السحابية، والمعلومات الشخصية للموظفين والمستخدمين النهائيين، بالإضافة إلى خطط البحث والتطوير وخطط الأعمال غير المكشوف عنها، والتي تتجاوز بكثير نطاق المجموعة المنصوص عليه في "خصوصية ZCode". السياسة".
وفي الوقت نفسه، كشفت شركة Chengming Technology أيضًا عن مشكلة تتعلق بالتدفق الفعلي للبيانات.
اكتشفت شركة Chengming Technology أن
جميع طلبات الشبكة من عميل ZCode يتم توجيهها إلى أسماء النطاقات zcode.z.ai وcdn-zcode.z.ai
. وفقًا للطرف المتعاقد ومراقب البيانات الشخصية لمنصة Z.AI، فإن JINGSHENG HENGXING TECHNOLOGY PTE.LTD مسجلة في سنغافورة. تنص سياسة الخصوصية أيضًا على أن "الخدمات يتم تقديمها عادةً من سنغافورة" و"تتم معالجة بياناتك الشخصية عادةً في سنغافورة".وفقًا لنشرة Zhipu في بورصة هونغ كونغ، فإن JINGSHENG HENGXING هي شركة فرعية مملوكة بالكامل بشكل غير مباشر لشركة Zhipu ومسجلة في سنغافورة في نوفمبر 2023. وفي النسخة الإنجليزية من ZCode، من الواضح في اتفاقيتها وسياسة الخصوصية الخاصة بها أن JINGSHENG HENGXING تقدم الخدمات وتكون مسؤولة عن معالجة البيانات. ومع ذلك، تنص النسخة الصينية من اتفاقية مستخدم ZCode على أن مقدم الخدمة هو "Beijing Zhipu Huazhang Technology Co., Ltd." وتنص سياسة الخصوصية أيضًا على أن معالج البيانات هو "Beijing Zhipu Huazhang".
تذكر اتفاقية خصوصية ZCode الصينية أيضًا أن جميع المعلومات الشخصية التي تجمعها وتولدها الصين في عملياتها داخل الصين يتم تخزينها داخل الصين ولن يتم نقلها أو تخزينها عبر الحدود. إذا كان النقل أو التخزين عبر الحدود مطلوبًا، فسيتم إخطار المستخدم مسبقًا وسيتم الحصول على موافقة المستخدم، إلا في الحالات التي لا يتطلب فيها القانون الإخطار.
اتفاقية خصوصية ZCode
لذلك، تطلب Chengming Technology من Zhipu شرح موضوع معالجة البيانات الفعلي لـ ZCode وما إذا كان هناك نقل عبر الحدود أو تخزين خارجي.
بالإضافة إلى ذلك، في الرسالة العامة، قدمت Chengming Technology أيضًا 11 طلبًا رئيسيًا إلى Zhipu، بما في ذلك إيقاف معالجة البيانات ذات الصلة، وحذف البيانات التي تم تحميلها والنسخ الاحتياطية لذاكرة التخزين المؤقت، والكشف عن معالجة البيانات والوصول إلى السجلات، وتوضيح ما إذا كانت تتم مشاركتها مع أطراف ثالثة أو استخدامها للتدريب النموذجي، وتقديم شهادات الحذف، وما إلى ذلك، ويطلب من Zhipu الرد كتابيًا قبل 10 أكتوبر.
في الوقت الحالي، لم تقدم Zhipu أي رد آخر على خطاب Chengming Technology. ومع ذلك، أصدرت ZCode الإصدار 3.14.0 في 19 سبتمبر، ويشير سجل التحديث بوضوح إلى أنه "تم إصلاح مشكلة التحميل غير الطبيعي لموسوعة المستودع".
التعليقات