أرشيف بحجم 313 ميغابايت لم يأذن أحد بإرساله
نشرت زد.إيه آي يوم الاثنين الشيفرة المصدرية لوكيلها البرمجي زد.كود، بعد ثلاثة أيام من إثبات مشترك مدفوع أن الأداة كانت تحزم مساحات عمل كاملة للمطوّرين وترفعها إلى سحابة علي بابا دون استئذان.
وثّق المطوّر، الذي ينشر باسم فيرستار، هذا السلوك في 18 سبتمبر. اكتشفه أثناء تفريغ مساحة على حاسوب ماك بوك إير حين لاحظ أن مجلد ~/.zcode تجاوز 700 ميغابايت. في داخله كانت لقطة لمشروع تجاري: 345 ميغابايت من الملفات مضغوطة في أرشيف مشفّر بحجم 313 ميغابايت، يضم 42,411 ملفاً من مساحات عمله.
معظمه كان تاريخ غيت
نحو 87 بالمئة من الحمولة كان مجلد .git. وبحسب تفصيل فيرستار، كان أكبر مكوّن 196.1 ميغابايت من ذاكرة LFS، يليه 102.2 ميغابايت من كائنات الالتزام و0.6 ميغابايت من سجلات المراجع. هذه ليست لقطة للشيفرة التي يعمل عليها مطوّر، بل تاريخ المشروع كله، بكل فرع وكل حالة محذوفة لا يزال المستودع يتذكرها.
شُفِّر الأرشيف قبل الرفع بتشفير المغلّف — مفتاح محتوى AES-256-CTR مغلَّف بـ RSA-OAEP-SHA256 — ثم أُرسل إلى تخزين علي يون OSS بعد التفاوض على بيانات الاعتماد مع خوادم زد.إيه آي. ولم يصل المفتاح الخاص إلى جهاز المستخدم قط. والنتيجة العملية أن المطوّر لم يستطع فتح مستودعه المرفوع، ولا استطاع البرنامج الذي أنشأه.
الإعدادات لم تكن تعمل
عرض زد.كود إعدادين يبدو أنهما يحكمان هذا الأمر: “Optimize Experience” و”Repo Snapshot Indexing”. وإيقافهما لم يمنع الالتقاط، لأن السلسلة كانت تعمل دون شرط بمجرد تسجيل الدخول إلى التطبيق. وحذف الحزمة المعلّقة لم ينفع أيضاً: خلال نصف ساعة يُبنى أرشيف جديد بحجم 313 ميغابايت. وقد راكمت إحدى اللقطات 564 محاولة رفع فاشلة قبل أن يُنتبه إليها.
المعالجة، وما لا تستطيع إثباته
تقول زد.إيه آي إنها أصلحت المشكلة. وقال الرئيس التنفيذي تشانغ بنغ إن الشركة أكملت المعالجة اللازمة، بحسب رَنتايم واير، ثم نشرت الشركة الشيفرة.
المستودع على github.com/zai-org/ZCode مرخّص بأباتشي-2.0 ويغطي تطبيق سطح المكتب وواجهة المتصفح ووكيل الطرفية وخدمات الواجهة الخلفية وواجهة المستخدم المشتركة وبيئة تشغيل الوكلاء. أُنشئ في 20 سبتمبر وفُتح بالتزامين اثنين فقط — إفراغ مجمَّع للشيفرة وليس تاريخ التطوير الذي يتيح تدقيق كيفية كتابة مسار الرفع أو موعد تغييره.
ويقرّ إشعار زد.إيه آي نفسه بالحد: المعالجة الداخلية التي تجري بعد وصول الطلبات إلى بوابتها تقع خارج نطاق ما يمكن لمستودع العميل التحقق منه. نشر العميل يقول ما يفعله البرنامج الآن، ولا يقول ما جرى للمستودعات المرفوعة سابقاً، ولا إن كانت حُذفت، ولا مَن داخل الشركة كان بوسعه قراءتها.
ما ينبغي متابعته
لا يحمل المستودع ملف SECURITY.md ولا نشرات أمنية منشورة. ولا يملك من استخدموا زد.كود آلية لتأكيد ما جرى الاحتفاظ به، ولا وسيلة للتحقق من تطابق الملفات التنفيذية الموزّعة مع الشيفرة المنشورة دون بنائها ومقارنتها. وردّ زد.إيه آي على أي من السؤالين هو الاختبار لمعرفة ما إذا كان فتح المصدر معالجةً أم دعاية.
