313 एमबी का एक पैकेज जिसे भेजने की इजाज़त किसी ने नहीं दी
ज़ेड.एआई ने सोमवार को अपने कोडिंग एजेंट ज़ेडकोड का स्रोत कोड प्रकाशित किया, एक भुगतान करने वाले ग्राहक द्वारा यह दिखाने के तीन दिन बाद कि यह औज़ार पूरे डेवलपर वर्कस्पेस पैक करके बिना पूछे अलीबाबा के क्लाउड पर चढ़ा रहा था।
फ़रस्टार नाम से लिखने वाले उस डेवलपर ने 18 सितंबर को इस व्यवहार का दस्तावेज़ीकरण किया। यह उन्हें एक मैकबुक एयर पर डिस्क जगह ख़ाली करते समय मिला, जब उन्होंने देखा कि ~/.zcode डायरेक्टरी 700 एमबी पार कर चुकी है। भीतर एक व्यावसायिक परियोजना की तस्वीर थी: 345 एमबी फ़ाइलें, 313 एमबी के एन्क्रिप्टेड पैकेज में दबी हुईं, जिनमें उनके वर्कस्पेस की 42,411 फ़ाइलें थीं।
अधिकांश हिस्सा गिट इतिहास था
क़रीब 87 प्रतिशत भार .git डायरेक्टरी का था। फ़रस्टार के विभाजन के अनुसार सबसे बड़ा हिस्सा 196.1 एमबी एलएफ़एस कैश था, उसके बाद 102.2 एमबी कमिट ऑब्जेक्ट और 0.6 एमबी रेफ़लॉग। यह उस कोड की तस्वीर नहीं जिस पर डेवलपर काम कर रहा है। यह परियोजना का इतिहास है, हर शाखा और हर मिटाई गई स्थिति सहित जिसे रिपॉज़िटरी अब भी याद रखती है।
पैकेज अपलोड से पहले लिफ़ाफ़ा-एन्क्रिप्शन से सुरक्षित किया गया — एक एईएस-256-सीटीआर कुंजी, जिसे आरएसए-ओएईपी-एसएचए256 से लपेटा गया — और ज़ेड.एआई के सर्वरों से प्रमाणपत्र लेने के बाद अलियुन ओएसएस पर भेजा गया। निजी कुंजी कभी उपयोगकर्ता की मशीन तक नहीं पहुँची। व्यावहारिक नतीजा यह कि डेवलपर अपना ही चढ़ाया गया रिपॉज़िटरी नहीं खोल सकता था, और न वह क्लाइंट जिसने उसे बनाया।
सेटिंग्स काम नहीं करती थीं
ज़ेडकोड में दो सेटिंग्स थीं जो सुनने में इसी पर नियंत्रण जैसी लगती थीं: “Optimize Experience” और “Repo Snapshot Indexing”। उन्हें बंद करने से संग्रहण नहीं रुकता था, क्योंकि ऐप में लॉगिन होते ही यह प्रक्रिया बिना शर्त चलती थी। लंबित पैकेज मिटाना भी काम नहीं आया: आधे घंटे में 313 एमबी का नया पैकेज बन जाता। एक तस्वीर ने पकड़े जाने से पहले 564 असफल अपलोड प्रयास जमा कर लिए थे।
सुधार, और वह जो वह नहीं दिखा सकता
ज़ेड.एआई कहती है कि समस्या ठीक कर दी गई है। मुख्य कार्यकारी झांग पेंग ने कहा कि कंपनी ने आवश्यक सुधार पूरा कर लिया है, रनटाइमवायर के अनुसार, और उसके बाद कंपनी ने कोड प्रकाशित किया।
github.com/zai-org/ZCode पर मौजूद रिपॉज़िटरी अपाचे-2.0 लाइसेंस के तहत है और इसमें डेस्कटॉप ऐप, ब्राउज़र इंटरफ़ेस, टर्मिनल एजेंट, बैकएंड सेवाएँ, साझा यूआई और एजेंट रनटाइम शामिल हैं। यह 20 सितंबर को बनी और दो कमिट के साथ खुली — एक समेकित कोड ड्रॉप, न कि वह विकास इतिहास जिससे कोई जाँच सकता कि अपलोड मार्ग कैसे लिखा गया या कब बदला।
ज़ेड.एआई की अपनी सूचना यह सीमा मानती है: अनुरोध उसके गेटवे तक पहुँचने के बाद होने वाला आंतरिक प्रसंस्करण क्लाइंट रिपॉज़िटरी की सत्यापन परिधि से बाहर है। क्लाइंट प्रकाशित करना बताता है कि सॉफ़्टवेयर अब क्या करता है। यह नहीं बताता कि पहले चढ़ाए गए रिपॉज़िटरी का क्या हुआ, वे मिटाए गए या नहीं, और कंपनी के भीतर उन्हें कौन पढ़ सकता था।
आगे क्या देखना है
रिपॉज़िटरी में न SECURITY.md है, न कोई प्रकाशित सुरक्षा सूचना। ज़ेडकोड इस्तेमाल करने वालों के पास यह पुष्टि करने का कोई तरीक़ा नहीं कि क्या रखा गया, और न ही बिना ख़ुद बनाकर मिलाए यह जाँचने का कि वितरित बाइनरी प्रकाशित स्रोत से मेल खाती है। ज़ेड.एआई इनमें से किसी सवाल का जवाब देती है या नहीं, यही तय करेगा कि ओपन सोर्स करना सुधार था या प्रचार।
