Zhipu AI's ZCode silent data upload incident sparks trust crisis

DoNews 9月23日消息（杨亮） 近日，多位行业人士在接受DoNews采访时警告称，近期爆发的智谱ZCode“静默上传用户数据”事件为整个行业敲响了警钟：失去信任的产品，无论技术多么亮眼，都将丧失根基。

事件概述

近日爆发的智谱ZCode“静默上传用户数据”事件，是一起因AI编程工具默认开启数据上传功能而引发的用户隐私与数据安全争议。事件从开发者个人发现异常，迅速发酵为涉及企业商业秘密、数据合规性的公开质疑。9月21日，智谱官方致歉，宣布开源代码并接受第三方审计。

行业人士观点

有行业人士在接受采访时表示，尽管官方已采取开源、审计等补救措施，并承诺相关数据不会留存、不用于模型训练，但信任的修复仍需持续的透明化行动来验证。

9月23日，太原承明科技实控人王峰在接受DoNews采访时表示，该公司仍在与智谱方面就相关事宜进行沟通和协商。此前，该公司曾以企业用户身份公开发函，质疑智谱“已修复”的说法，并提出12项答复要求，包括彻底删除数据、提供数据处理清单、说明是否跨境传输等，目前尚未得到回复。

深层问题：数据收集边界与用户知情同意

有行业人士指出，该事件暴露出高速发展的人工智能行业中，AI工具在数据收集边界与用户知情同意方面的深层问题。近期，美国知名大数据公司Palantir的CEO亚历克斯·卡普多次公开炮轰AI巨头OpenAI、Anthropic等前沿AI公司，指责其用客户数据训练模型，窃取企业核心商业机密。

法律视角

知名知识产权律师游云庭在接受DoNews采访时表示，按照我国信息保护相关法律规定，“上传用户数据”的行为如果只是为了“建立索引”，应遵循《个人信息保护法》规定的知情同意和最小必要原则，先告知用户不上传非必要的数据，同时数据应保存在境内而非境外。

此前，有自称开发者的曝光材料显示，整改前，上传及上传资料的范围有超出ZCode《隐私政策》载明收集范围之嫌。对此，游云庭律师认为，如果经调查证明该说法属实，则可能面临不同程度的法律责任。

根据有关法律规定，若存在以下行为：

• 未告知即处理个人信息
• 违反最小必要原则
• 未经单独同意处理敏感个人信息
• 违反数据安全保障义务

将面临以下处罚：

• 责令改正、警告
• 没收违法所得
• 按上一年度营业额百分之五以下或五千万元以下罚款
• 对直接负责的主管人员个人罚款
• 暂停相关业务乃至下架产品

如有重要信息或国家秘密出境等严重情节，则更可能涉及刑事责任。

代码助手类产品的特殊风险

有行业人士认为，与普通对话式AI产品不同，代码助手、IDE插件等大模型工具直面开发者最核心的资产：源代码、项目历史、数据库密钥、业务配置文件等。其中往往包含企业商业秘密、生产环境凭证，一旦失控，潜在风险远大于普通个人信息泄露。

行业竞争与数据安全失衡

当下中美AI大模型竞争进入白热化，不少厂商陷入“速度优先”的内卷：抢先上线新能力、扩充模型上下文、打造一站式智能开发Agent，以此抢占市场、获取用户。

在这样的节奏下，数据采集规则、客户端后台行为、跨境数据风险评估，容易变成后置环节。更有甚者，部分产品将用户数据当作优化模型效果的“燃料”，默认开启数据采集。

有观点认为，他们将复杂的权限说明埋藏在冗长的隐私政策里，把加密传输等同于数据安全，把交给第三方云服务商当作合规免责的护身符。

但实际上，以上做法无法规避产品方的法律责任，因为：

• 加密解决的是传输环节的防窃听问题，而非“有没有权利收集、收集范围是否必要、数据该存在哪里”等根本问题
• 云服务商仅承担数据处理角色，产品运营方才是数据安全的第一责任人

结语

有行业人士指出，技术的生命力根植于用户信任。人工智能行业的比拼，最终不只是模型参数、生成速度、功能丰富度的比拼，更是安全能力、合规意识、对用户权益尊重程度的比拼。

如果一味追逐上线速度，漠视数据边界与知情权，再亮眼的产品功能也会在信任的崩塌面前失去根基。唯有将数据安全嵌入产品设计的源头，守住最小必要、知情可控的底线，大模型应用才能走得更稳、更远。（完）