Aplikasi AI Coding ZCode Milik Z.ai Kedapatan Unggah Seluruh Riwayat Git dan Workspace ke Cloud Tanpa Izin

Komunitas rekayasa perangkat lunak dan kecerdasan buatan (AI) dikejutkan oleh temuan keamanan siber yang menyoroti batas privasi aplikasi pengembang. ZCode, lingkungan pengembangan perangkat lunak otonom (agentic IDE) gratis yang dirilis oleh laboratorium AI terkemuka asal Beijing, Z.ai (sebelumnya Zhipu AI) untuk model GLM-5.2, kedapatan secara diam-diam mengemas dan mengunggah seluruh riwayat repositori Git pengguna ke cloud storage pihak ketiga.

Temuan forensik ini pertama kali diungkap ke publik oleh peneliti dan pengembang dengan alias ferstar pada Jumat (18/9/2026). Saat melakukan audit kapasitas penyimpanan lokal, peneliti mencurigai folder ~/.zcode yang membengkak hingga ratusan megabita dan menemukan arsip terenkripsi sebesar 313 MB yang terus berulang kali mencoba diunggah ke server Alibaba Cloud (Aliyun OSS).

Anatomi Eksfiltrasi Data dan Direktori .git

Berbeda dari asisten AI pengkodean biasa yang hanya mengirimkan cuplikan kode relevan (context window) saat pengguna mengeksekusi perintah (prompt), ZCode menyertakan modul sidecar di tingkat host yang berjalan otomatis di latar belakang setiap kali pengguna masuk (logged in).

Berdasarkan analisis berkas app.asar dan manifes data lokal, proses pengarsipan ini menargetkan:

1. Objek Git Lengkap (.git/objects/): Menyumbang 29,6 persen data yang mencakup seluruh sejarah komit, pohon kode, dan objek blob sejak awal repositori dibuat.
2. Cache Berkas Biner (.git/lfs/): Menyumbang 56,8 persen data yang menyimpan seluruh aset biner dan media besar proyek.
3. Catatan Jejak Operasional (.git/logs/): Reflog lokal yang mendokumentasikan riwayat cabang rahasia dan operasional lokal.
4. Kode Sumber Aktif: Sekitar 13,4 persen dari total muatan.

Secara kumulatif, direktori tersembunyi .git mencakup lebih dari 86 persen dari muatan berkas yang dikirimkan. Hal ini menimbulkan risiko kebocoran data sensitif yang sangat masif, seperti token akses API lama yang pernah terhapus di komit terbaru, nama cabang fitur internal yang belum diumumkan, hingga konfigurasi URL repositori privat.

Skema Enkripsi Satu Arah

Hal yang memicu kekhawatiran terbesar adalah skema kriptografi yang digunakan. ZCode menerapkan sistem envelope encryption dengan enkripsi simetris AES-256-CTR, namun kunci publik RSA-OAEP untuk membungkus kunci simetris tersebut dikirim secara dinamis oleh server koordinator zcode.z.ai.

Kunci privat dekripsi sepenuhnya tersimpan di server cloud milik Z.ai. Akibatnya, arsip terenkripsi yang ada di penyimpanan lokal pengguna tidak dapat dibuka atau didekripsi oleh pengguna itu sendiri maupun oleh aplikasi ZCode di mesin lokal. Pengaturan ini membantah dalih bahwa fitur tersebut murni untuk pencadangan lokal (local backup/rollback), melainkan transmisi satu arah ke infrastruktur pihak penyedia.

Setelan Privasi Tidak Berfungsi dan Langkah Mitigasi

Investigasi pada kode sumber aplikasi membuktikan bahwa sakelar pengaturan di antarmuka (UI)—seperti Optimize Experience (optimizeAgentExperienceEnabled) dan Repo Snapshot Indexing (repoSnapshotIndexingEnabled)—sama sekali tidak menonaktifkan proses pengarsipan dan pengiriman data. Opsi tersebut hanya mengatur apakah data digunakan untuk pelatihan model di sisi server.

Upaya menghapus berkas arsip secara manual pun tidak membuahkan hasil karena sistem akan langsung mengemas ulang repositori dalam waktu kurang dari 30 menit. Komunitas merekomendasikan mitigasi di tingkat kernel sistem operasi dengan mengunci direktori penampungan checkpoint agar tidak dapat ditulis sama sekali:

• Pada Linux, direktori penampungan lokal dikosongkan dan dikunci menggunakan perintah penambahan atribut immutable kernel chattr +i.
• Pada macOS, penguncian serupa dapat diaplikasikan menggunakan perintah chflags uchg.

Langkah ini membuat pemanggilan I/O dari modul pengarsip ZCode gagal secara otomatis sehingga tidak ada data repositori yang dapat dieksfiltrasi ke jaringan luar.

Kasus ini menjadi peringatan keras bagi para pengembang bahwa penggunaan model AI berbobot terbuka (open-weights) seperti lini GLM tidak otomatis menjamin kerahasiaan data jika dijalankan menggunakan harness atau aplikasi desktop berpemilik (closed-source) yang tidak diaudit secara transparan.