9月20日，鞭牛士消息称 ，太原承明科技有限公司（以下简称“承明科技 ”）向智谱（02513.HK）发函 ，就ZCode客户端涉嫌在用户不知情的情况下，将其数据资产与商业秘密批量上传至云端一事 ，提出删除数据、出具证明 、说明去向等十余项要求 ，并明确保留索赔 、向监管部门投诉乃至提起民事诉讼的权利。
企查查App显示，承明科技成立于2026年4月20日 ，法定代表人为宫淑芳 ，主营为企业构建管理软件、AI应用与信息安全工具；承明科技也是9月18日ZCode被曝静默上传全量代码库以来，首家公开“亮函 ”追责智谱的企业用户 。
截至发稿，智谱方面尚未就承明科技的函件作出公开回应 。
私自上传
文件中披露称 ，承明科技系ZCode付费用户 ，在经营活动中使用该软件处理本公司项目代码及相关数据。承明科技独立取证发现，ZCode的上传行为远超“偶发”的代码片段传输 ，而是自动 、批量触发的完整归档 。
被上传的内容包括项目完整源代码及系统架构设计 、完整的版本控制历史（含已删除的历史提交和引用日志）、数据库口令 、接口密钥 、云服务凭证及证书、员工及终端用户的个人信息 ，以及未公开的研发规划和商业计划 。
承明科技量化取证结果显示，其默认工作区共有3.29万个文件、约4.11亿明文字符被整体打包处理；另一个项目包含1947个文件 、约1.44亿字符 ，仅因连续32次上传失败才未能成功送达智谱云端。
承明科技还对智谱“已修复 ”的承诺提出直接质疑 。函件指出 ，客户端虽已于9月16日更新至3.12.3版本，但在智谱公开致歉当日凌晨 ，承明科技仍监测到上传行为发生 ，修复的实际效果因此存疑 。
此前，9月18日凌晨 ，个人开发者ferstar在技术论坛发文披露 ，智谱旗下AI编程工具ZCode在用户登录状态下，会静默将整个工作区打包加密后上传至阿里云OSS，包内包含完整的Git版本历史 、LFS大文件缓存、reflog及全局应用配置。该开发者还指出 ，加密所用RSA公钥由服务端下发 ，解密私钥仅存于云端，用户本人无法解包本地加密文件 ，且客户端界面中没有任何开关能够真正关闭该上传机制。此事迅速在开发者社区引发广泛讨论 。
面对迅速发酵的舆论 ，同日下午，智谱通过ZCode官方群组向受影响用户致歉 ，并发布情况说明 。智谱将问题归因于ZCode的“代码库索引 ”功能 ，该功能旨在帮助用户在本地生成仓库索引，以支持会话检查点恢复 、历史版本回退及Repo Wiki（代码仓库知识库）等功能。其中 ，Repo Wiki在生成Wiki页面时可能会触发仓库数据上传 。
智谱强调 ，Wiki页面在云端生成后，相关上传数据会立即销毁 ，不会保存 ，并称相关问题已经修复 。同时，智谱宣布近期将开源ZCode代码库，邀请第三方评估人员对系统运行情况进行审查 ，并为全体用户额外提供一次周额度重置作为补偿。
合规质疑
此次事件的另一焦点在于数据去向与出境合规问题 。
承明科技发现 ，ZCode中文版《隐私政策》将服务提供者与数据处理者列为北京智谱，英文版却指明其新加坡全资子公司 ，并写明“服务通常从新加坡提供”“个人数据通常在新加坡处理 ” 。
具体而言 ，ZCode客户端的全部网络请求指向zcode.z.ai与cdn-zcode.z.ai域名，Z.AI平台缔约主体及个人数据控制者为JINGSHENG HENGXING TECHNOLOGY PTE.LTD。据智谱在港交所招股书披露 ，JINGSHENG HENGXING为智谱于2023年11月在新加坡注册的间接全资子公司 。
根据《个人信息保护法》第三十八条 ，数据处理者向境外提供个人信息，须满足国家网信部门组织的安全评估 、个人信息保护认证或订立标准合同三者之一；第三十九条进一步要求 ，向境外提供个人信息前应告知境外接收方的名称、联系方式 、处理目的及方式等 ，并取得个人的单独同意 。
承明科技据此要求智谱厘清本次数据上传行为的法律责任归属，并说明是否存在数据出境传输或境外服务器存储情形。
在整改要求方面 ，承明科技要求智谱于2026年10月10日前以书面形式完成多项事项 ，包括彻底删除已上传的全部数据及相关衍生数据 、缓存和备份并出具删除证明；提供完整数据处理清单，说明数据是否共享给第三方或用于模型训练；披露加密私钥保管机制及全部数据访问审计日志；并书面承诺不再发生类似行为 。
隐私安全
值得注意的是，大模型的隐私安全问题一直是被重点关注的领域 。
2026年5月 ，以色列网络安全公司RedAccess研究显示 ，AI编程工具正导致医疗记录、财务数据与财富500强内部文件等大量敏感信息泄露至开放网络；7月，独立安全研究者对xAI的GrokBuild抓包分析 ，发现其会将整个项目上传至谷歌（GOOG）云存储且未经脱敏；工信部漏洞共享平台也曾就美国Anthropic公司Claude Code存在未经同意回传敏感信息的风险作出提示。
智谱2026年半年报显示 ，截至8月底，智谱MaaS平台企业及开发者用户超过740万 ，Token调用量较年初增长超过40倍 ，付费日活用户增长603%，前前十 客户日均调用量增长98倍；API平均售价提升约101%。
但与此同时 ，智谱整体毛利率从2025年同期的50.0%降至26.4% ，近乎腰斩，主因是高毛利的本地化部署业务占比下降 ，而处于爬坡阶段的API业务结构性拉低了整体水平 。不过 ，API业务自身的毛利率已从2025年同期的-0.4%提升至24.6%，单位Token推理成本较年初下降80%，单位算力投入所对应的收入提升14倍 。
此次争议爆发前 ，智谱股价便持续承压。9月8日 ，智谱股价盘中一度跌超11%，跌破1000港元大关 ，最低触及893.5港元/股 。9月18日 ，智谱收盘报780港元，总市值约3803亿港元 。
（文章来源：财中社）
