https://www.fridaycl.art/tags/%E6%99%BA%E8%B0%B1/Recent content in 智谱 on 星期五财论Hugo -- gohugo.iozh-cnTue, 22 Sep 2026 06:36:42 +0800https://www.fridaycl.art/posts/zhipudaimashangchuan20260922/Tue, 22 Sep 2026 06:36:42 +0800https://www.fridaycl.art/posts/zhipudaimashangchuan20260922/一个10GB的软件项目，被打包成313MB的加密文件。上传失败564次，于是它就躺在程序员的硬盘里。 你打不开它。你的编辑器打不开它。写它的那家公司，把解密私钥留在了自己的服务器上。 这不是备份。备份的第一条铁律，是主人自己能恢复。一份连本人都解不开的东西，只有一个准确的名字：别人的资产。 先看清楚，这不是一次"异常触发" 9月18日凌晨，开发者ferstar在清理磁盘时发现，~/.zcode这个目录占了700多MB。顺着往下查，他挖出了一条完整的链路。 客户端向智谱服务器申请上传凭证，拿到服务端下发的加密公钥、大小限制，以及阿里云OSS的表单凭证。然后按自己的筛选规则扫描工作区，AES加密，再用RSA公钥把对称密钥包起来，密文直接投递到OSS，最后通过回调向后台登记。 技术博主Vonng用Claude在自己的Mac上独立复现了一遍，结论是：真的。他的机器上有四个工作区的快照记录：一个229MB、一个232MB、一个405MB（加密后7.4MB，状态显示已被服务端接受）、还有一个1.53GB（加密后1.07GB，超出服务端给的上限，失败计数102次）。 请注意最后这个细节。 上传的大小阈值，是服务端下发的。收不收，也是服务端定的。客户端的角色，是执行，不是决策。 更值得琢磨的是打包范围。Vonng那个被接受的快照里有9619个文件，其中8323个属于.git目录，占了93.9%的字节。ferstar抓到的那个包里，.git占86.6%。 为什么.git这么重？因为在代码的过滤链里，放行 .git 的规则排在所有排除规则之前。那个所谓1MB的大小上限、那份密钥过滤清单，对.git下面的一切都不生效。一个137MB的packfile，就是这么整包进去的。 翻译一下这意味着什么：任何一个曾经被提交过的私钥、口令、API Key，哪怕你当天就git rm删掉了，哪怕你用filter-repo重写过历史，它依然原封不动地躺在.git/objects里，等着被打包送走。 Vonng写得很克制：他的私钥没被带走，纯属运气。他那个仓库里甚至包含.git/filter-repo和.git/lost-found——前者说明有人专门重写过历史来清除敏感数据，后者是悬空对象目录。ZCode打包带走的，恰恰是你刻意清掉的东西。 而那份过滤清单薄到什么程度？他自己一个PGP公钥文件，因为扩展名是.asc、文件名里既没有token也没有secret，就这么混进了快照清单。 再看隐私政策。ZCode写得很清楚，只有"通过对话"提交的文本、文件、代码，才在它宣称的收集范围内。后台快照不是通过对话提交的。 这不叫措辞漏洞。这叫承诺之外的采集。 最扎心的不是上传，是那个假的开关 如果只是"功能误触发"，改掉就好。真正让开发者炸锅的，是另一件事。 设置里有一个开关，叫"仓库快照索引"。 Vonng的机器上，这个开关的状态是：一直显示关闭。9月13日到18日的日志里，这个字段出现了1339次，每一次都是false，没有一次是true。而他那四个快照，全部产生在这几天。 代码说明了原因。在真正执行采集的宿主包里，这个字段只出现两次：一次是数据库迁移赋值，一次是设置名列表。两次都不在采集路径上。 采集入口只要求sidecar实例存在，而那个实例是无条件构造的。搜遍整个app.asar，找不到任何能关掉它的环境变量。 真正的判定在哪？在服务器。 客户端每次发提示词，都会无条件向服务器请求上传凭证。服务器给，就采；服务器不给，就不采。这个请求不缓存、不记日志，失败也不提示。 开关不在你的电脑上。开关在别人的服务器上。 这就是整个事件里最致命的一击。用户以为自己按下了"关闭"，其实只是看见了一张贴纸。 企业用户太原承明科技的取证更直接：6个工作区、34549个文件、约425MB，包含完整源代码、系统架构、版本控制历史、数据库口令、云服务凭证和员工个人信息。他们的说法是，客户端9月16日已更新到3.12.3版本，但在智谱9月18日公开致歉的当天凌晨，仍然检测到上传行为。 72小时整改，快得让人佩服，也快得让人不安 客观说，智谱这次的危机处置，是中国AI公司里少见的利落。 9月18日，出情况说明，道歉，把根源归到"代码库索引"下的Repo Wiki功能，承诺云端生成页面后数据立即销毁，并给全体用户补偿一次周额度重置。 9月19日，v3.14.0发布，更新日志里写着"修复仓库百科异常上传的问题"。 9月20日晚，MaaS平台宣布上线"数据内容不留存"功能。提示词和模型返回结果只在内存里参与当次计算，请求一结束立即释放。 9月21日早，ZCode正式开源（github.com/zai-org/ZCode），委托中国信通院和绿盟科技做安全审计，宣布漏洞奖励计划，承诺每月发布安全审计报告。 三天，从道歉到开源，从零留存到第三方审计，一套动作打完。资本市场的反馈也很直接：9月21日智谱盘中最低触及-5.96%，午后翻红，收报794港元，涨1.79%。 但快，不等于答得清。 承明科技的12页法律函里，有几个问题至今没有拿到书面答复：数据是否发生了出境传输或境外存储？ZCode客户端的网络请求指向新加坡主体，而服务协议签约主体是北京智谱华章，责任主体到底是谁？已上传数据的备份和衍生物清干净了吗？“云端生成后立即销毁”，凭什么由平台自证？ 还有一个更结构性的问题。开源的是客户端代码。而做采集决策的服务器逻辑、OSS里的对象清单、销毁的时间与记录，一行都看不到。信通院和绿盟科技的审计结论，也是平台委托、平台披露。 “透明"在这里有个边界：客户端的窗帘拉开了，服务器那扇门还关着。对于一家把"代码"当作核心资产的公司来说，这个边界很微妙。你交付的是信任，而信任不能只开一半。 这一跤，摔在智谱最赚钱也最脆的地方 为什么这场风波对智谱的杀伤力，远大于一次普通的公关事故？答案在财报里。 8月31日，智谱发布上市后首份中期业绩。2026年上半年总收入9.54亿元，同比增长399.7%；净亏损20.72亿元，同比收窄12.1%；经调整净亏损19.64亿元；研发投入21.31亿元，同比增长33.6%，是同期收入的2.2倍。 真正关键的是结构变化。 开放平台及API业务收入8.25亿元，同比增长2735.7%，占总收入的比例从去年同期的15.2%飙升到86.5%。而企业级通用大模型（本地化部署）收入从1.48亿元降到6704万元，下滑54.6%。 一句话：智谱正在从"卖软件授权"转向"卖调用量”。 这条路它走得很快。API平均售价较年初提升约101%，token调用量增长超过40倍，单位token推理成本下降约80%，付费日活用户数较年初增长603%。MaaS平台用户已超740万。8月11日，ZCode宣布用户数突破100万；到9月21日，媒体报道这个数字已经到200多万。 代价也很清楚。本地化部署业务的毛利率是48.8%（2025年数据），云端API只有18.9%。今年上半年，随着云端占比拉高，公司整体毛利率从50.0%掉到26.4%，云端API业务的毛利率刚从-0.4%转正到24.6%。 于是一个残酷的循环出现了：高毛利的重交付生意在萎缩，低毛利的调用生意在膨胀。要维持增速，就要更多的数据、更密的迭代、更狠的成本控制。 而Coding，正是这条路唯一的收费站。唐杰在业绩会上把公司业务分成三个阶段：2025年以前是做本地化部署，2025年初之后进入以Coding为代表的第二阶段，再往上是Co-work和更高程度的自主执行。 问题是，这个收费站现在站满了人。阿里、腾讯、字节各自在做Coding产品，DeepSeek走极致性价比，Kimi主打Agent集群并行。智谱想守住的不是跑分第一，而是开发者的日常工作流入口。 而入口的第一道门，叫信任。 再看资本端，压力更直观。 2026年1月8日，智谱在港交所上市（02513.HK），IPO净募资48.96亿港元，开盘市值超500亿港元。之后股价一路狂飙：6月22日市值一度突破1万亿港元，跻身港股科技股第三大市值公司；有报道称最高触及2980港元、市值到过1.3万亿港元。 然后是坠落。7月17日单日下跌28.49%，一天蒸发约2000亿港元市值。9月13日宣布约50亿美元融资——20亿美元股份配售加30亿美元零息可转债，配售价714港元，较公告前收盘价折让约9.96%——次日股价一度跌超10%。 到9月18日风波爆发当天，股价收报742.5港元，总市值约3620亿港元。52周的价格区间是116.10港元到2980港元，也就是说，从最高点算，市值回撤了七成以上。（9月21日收报794港元。） 年内三轮融资，合计约756亿港元。钱是拿到了，但"万亿智谱"这个故事，已经被市场重新定价。 所以回到ZCode这件事，它的杀伤力不在于泄露了什么，而在于它戳中了一个最不该被戳中的点： 一家卖代码工具的公司，最怕的不是代码写得不如别人，是别人不敢把代码交给它。 边界，是Agent时代最稀缺的东西 说到底，ZCode不是孤例。 今年7月，安全研究者cereblab抓包了xAI的Grok Build CLI。即使提示词明确写着"回复OK，不要读取任何文件"，它依然把整个仓库打包成Git bundle上传到了Google Cloud Storage。克隆回来，连智能体从未读过的文件、完整的提交历史都在。关掉"改进模型"选项，无效。