一次"补发周额度",赔得起你的代码吗?ZCode 争议背后的一笔账
本文根据科技博主“老范讲故事”的视频及公开讨论整理。相关细节以当事方陈述为准,官方后续进展请以智谱官方渠道为准。
最近,AI 编程工具 ZCode 在开发者圈子里炸了锅。
据披露,一位独立开发者清理磁盘时,发现 ZCode 的数据目录占了 700MB 以上。他顺藤摸瓜,发现里面有 300MB 多的加密文件和一份明文清单:他的商业项目代码,连同完整的 .git 目录(历史记录、分支,甚至可能含有密钥),被整体打成了一个 313MB 的加密包,正试图上传到云端对象存储。
上传失败了 564 次,客户端还在不停重试。手动删掉,半小时后又重新生成。据称,即使在设置里关掉“优化体验”和“仓库快照索引”,这一行为依然继续。
事件本身网上已有不少讨论,我想换个角度,算一算这件事背后的账。
第一笔账
你的代码到底值多少钱?
对很多独立开发者和小团队来说,代码不是“文件”,是资产,甚至是全部家当。
一个外包项目的源码,是你向客户收费的凭证;一个自研产品的仓库,是你未来的现金流;一份未发布的代码,是你的先发优势。
而 .git 目录比当前代码更值钱。它记录了项目怎么一步步做出来的:每一次重构,每一个被删掉的功能,每一次改过的配置。同行拿到它,省下的可能是几个月的摸索成本。
取决于别人拿到它能省多少钱。
第二笔账
补偿,抵得上风险吗?
事件曝光后,智谱在用户群里致歉,给出四项承诺:修复 Bug、近期开源 ZCode 代码库、引入第三方安全审计,并为所有用户补发周额度重置。
诚意值得肯定,但把账摆在一起看:
| 平台付出的 | 用户可能承担的 |
| 多给一周 Token 额度。对平台来说,是可控的边际成本。 | 代码一旦被不当访问:项目价值缩水、客户信任受损,甚至合同违约的赔偿。 |
一边是额度,一边是资产,这两者根本不在一个量级。周额度补的是“用量”,补不了“信任”,更补不了一旦发生泄露后无法回收的损失。
而且据视频梳理,用户仍有几点疑虑:
· 官方称问题已修复,却没有推送新版本,外界担心只是云端开关临时屏蔽;
· 官方只解释了索引功能,没有正面回应为什么要打包完整 Git 历史、为什么本地隐私开关似乎不起作用;
· 开源的承诺,截至视频发布时也还没有看到官方仓库。
第三笔账
谁在为“省 Token”买单?
官方的解释是:这是“代码库索引”功能的 bug,上传是为了在云端建立索引,节省上下文 Token,索引完成后会销毁原始文件。
从产品逻辑看,这个思路不难理解:把仓库先做成索引,后续对话不必每次塞入大量代码,成本确实能降。
但这里有个值得每个开发者想一想的问题:Token 省下来的钱,谁得到了?数据的风险,谁承担了?
如果省钱的是平台和用户,风险却主要压在用户一个人身上,那这笔交易就不对等。合理的做法是:
明确告知:要上传什么、传到哪里、留多久;
明确授权:用户同意了才传;
开关有效:关了就是关了。
海外主流的同类工具,多数采用本地分块向量化、明确的授权提示,严格遵守隐私模式,或在云端沙盒中运行。做不做到位另说,至少路径是清晰的。
第四笔账
一把泄露的密钥,可能就是一张账单
很多人没意识到,仓库里常常藏着真金白银的东西:云服务的 AccessKey、支付接口的密钥、数据库连接串、第三方 API 的令牌。
这些东西一旦落入他人之手,后果是直接的:
· 云账号被拿去跑资源,账单一夜暴涨;
· 接口被盗刷,额度耗尽;
· 数据库被读取,用户数据外泄,随之而来的是合规风险。
所以,无论这次事件最终如何定性,它都提醒我们:密钥不该躺在仓库里,更不该躺在你不完全信任的工具能读到的地方。
最后一页
给开发者的“省钱防坑”清单
| 场景 | 建议 | 省的是什么钱 |
| 核心商业项目 | 不在非完全信任的 AI IDE 中直接打开,必要时隔离网络 | 项目价值、违约赔偿 |
| 仓库里的密钥 | 用环境变量或密钥管理服务,泄露过的立即轮换 | 云账单、接口盗刷 |
| 选 Agent 工具 | 优先选代码透明、社区活跃的开源项目 | 试错与迁移成本 |
| 便宜/免费的工具 | 先看清数据流向,再决定用不用 | 你可能在用数据付费 |
| 模型与 Agent | 本地或自建的开源模型相对可控;有文件读写和联网权限的 Agent 要格外警惕 | 合规与泄露风险 |
还有两个小习惯,成本几乎为零:
1. 定期检查工具的数据目录和网络请求。这次事件,就是一位开发者清磁盘时发现的。
2. 最小权限原则。工具需要读哪个目录,就只开放哪个目录,不要图省事给整盘权限。
写在最后
AI 编程工具确实提高了效率,很多时候一个月的活一周就能干完,这是实打实的收益。
但用它的前提是搞清楚:你付出的,除了订阅费和 Token,还有没有别的东西?
你更要问一句:它的成本是怎么覆盖的?
这次事件后续如何,官方的开源、审计是否兑现,还值得继续关注。而在结论出来之前,你能做的最划算的一件事,就是管好自己的代码,就像管好自己的钱包。
你在用 AI 编程工具时,遇到过让你心里一紧的瞬间吗?
欢迎在评论区聊聊。