中国Zhipu AIの「ZCode」、コード無断送信問題でクラウドデータを全削除　第三者検証と補償プランを発表

要点

• 中国のAI企業Zhipu AI（智譜AI）は、コーディング支援ツール「ZCode」がプロジェクト資産を自動送信していた問題について、該当するクラウドデータの完全削除と技術的改修を完了したと発表した。

• データの削除は中国情報通信研究院（CAICT）およびセキュリティ企業NSFOCUSの2社による第三者検証を受けており、モデルの学習には一切利用されていないと説明している。

• 今後の仕様はユーザーが明示的に操作した場合のみ送信する方針へ改められ、ソースコードはGitHub上でApache-2.0ライセンスのもとオープンソース公開された。

• 影響への対応として、有料ユーザーへのクォータ（利用制限枠）リセットカードの提供と、全ユーザー向けに計10万個（1個あたり1億トークン）の無料トークン配布が実施される。

• 中国のAI開発企業であるZhipu AIは、自社のAIコーディングツール「ZCode」において発生していたデータの無断アップロード問題について、技術的な是正措置を完了したと発表した。Alibaba Cloud（アリババクラウド）上に存在していた対象データおよびストレージバケットはすべて削除され、2つの第三者機関による検証も完了したという。あわせて同社は、影響を受けたユーザーへの補償プランを提示している。

313MBの暗号化ファイルから発覚した無断送信問題

今回の問題は、2026年9月18日に開発者のferstar氏がローカル環境のファイル整理を行っていた際に、ZCodeのデータディレクトリ内に約313MBの暗号化ファイルを発見したことが発端となった。

解析の結果、このファイルはログイン時にユーザーのワークスペース全体をパッケージ化して生成されたものと判明した。中身にはプロジェクトのソースコードをはじめ、Gitのコミット履歴、大容量ファイルを効率的に扱うGit LFSのキャッシュファイル、グローバルな開発環境設定などが含まれていたという。

以前のバージョンにおいて、このデータ生成・送信機能は初期設定で有効化されており、クライアント側には無効化するための明確な設定項目が用意されていなかった。さらに一部の開発者からは、プライバシー設定やインデックス作成に関連する項目をオフに切り替えた後も、バックグラウンドのプロセスがパッケージのアップロードを試み続けていた事例が報告されていた。

この事態を受け、開発現場ではコード資産の漏洩に対する懸念が急速に高まり、ツールの使用を停止して自社コードの露出状況を確認する企業が出るなどの混乱が生じていた。

72時間以内の初期対応と段階的な機能改修

問題の発覚以降、Zhipu AIは72時間以内に一連の是正対応を進めた。

発覚当日の9月18日、同社は公式に謝罪声明を発表し、機能の提供開始時点でアップロードの仕組みについてユーザーへ十分に開示していなかった事実を認めた。翌9月19日にはバージョン3.14.0をリリースし、リポジトリの要約を生成する「Repo Wiki」機能の導線や、リポジトリのスナップショットを生成・送信する処理経路を削除した。

続いて9月21日には、ZCodeのソースコードを公開するとともに、第1回目の第三者セキュリティ検証結果を公表した。同社は、影響を受けたコードデータは保持されておらず、AIモデルの学習用データとしても過去に一切利用されていないと説明している。

クラウドデータの完全削除と「明示的送信のみ」への方針転換

最新の発表によると、同社が利用していたAlibaba CloudのOSS（オブジェクトストレージサービス）バケット内に保存されていたすべてのデータオブジェクト、およびバケット自体が完全に削除された。この削除作業は、中国情報通信研究院（CAICT）とセキュリティ企業NSFOCUSの第三者機関2社によって検証されている。

今後の運用方針として、ZCodeは「ユーザーが自ら開始しない限りアップロードしない」原則を適用する。ユーザーが明示的にアップロードを指示しない限り、ソースコードやプロジェクトファイルなどの開発データはローカル端末内にのみ保持され、クラウドへ自動的に送信されることはないとしている。

現在、これらの改修が反映されたZCodeのオープンソース版はバージョン3.14.3へ更新され、GitHub上でApache-2.0ライセンスのもと公開されている。

有料・無料ユーザーへの補償内容

技術的な修正と併せて、Zhipu AIは全ユーザーを対象とした補償策を発表した。

有料プランの契約者に対しては、1か月間有効な「週間クォータリセットカード」4枚と「5時間クォータリセットカード」4枚が付与される。さらに、9月28日から10月7日までの期間、すべてのユーザーを対象に1パッケージあたり1億トークンが含まれる無料トークンパッケージが合計10万個配布される。

9月18日の発覚から10日以上にわたり議論が続いていた本件だが、製品仕様の改修、ソースコードの開示、第三者機関によるデータ削除の検証、そして補償プランの提示を経て、一連の対応は収束へ向かっている。