블로거 ferstar 가 ~/.zcode/v2/checkpoints/ 에 쌓인 313MB 암호화 파일을 보고 3.12.3 의 앱 번들(app.asar)을 분석했더니, ZCode 는 로그인만 돼 있으면 프롬프트 직전과 작업 완료 때마다 작업 공간을 통째로 묶어(평문 목록 기준 42,411개 파일 중 86.6% 가 .git) 서버가 내려준 공개키로 암호화한 뒤 알리윈 OSS 에 올리고 있었고, 설정의 「경험 최적화」·「저장소 스냅숏 인덱싱」 스위치를 꺼도 수집·업로드는 멈추지 않았어요. 지푸는 9월 18일 공식 사용자 그룹에서 코드베이스 인덱싱의 Repo Wiki 기능이 출시 초기에 기본으로 켜져 있어 생긴 일이고 올라간 데이터는 위키 생성 뒤 바로 파기한다며 사과했고, 코드 공개와 제3자 검토, 주간 한도 추가 초기화를 약속했어요. 9월 19일 나온 3.14.0 변경 기록에 「저장소 위키의 비정상 업로드 수정」이 적혔고, 글쓴이는 그 버전에서 업로드 코드가 사라지고 인증 정보 주소가 404 를 돌려준다고 확인했어요.
용어 풀이
- OSS
- 알리바바 클라우드(알리윈)의 파일 저장 서비스 Object Storage Service
- asar
- 일렉트론 데스크톱 앱이 소스 파일을 한 덩어리로 묶어 두는 아카이브 형식
- Repo Wiki
- ZCode 가 저장소 구조를 읽어 아키텍처 안내 문서를 만들어 주는 기능
운영자 인사이트
「바로 파기한다」는 회사 말뿐이라 검증할 수단이 없고, 암호화 키를 서버만 갖는 구조라 사용자가 무엇이 올라갔는지 열어 볼 수도 없어요. 폐쇄형 데스크톱 에이전트는 설정 스위치를 믿지 말고 상태 디렉터리와 바깥으로 나가는 트래픽을 직접 확인해야 하고, 사내 저장소에는 네트워크 제한이나 샌드박스 없이 붙이지 않는 게 맞아요.
여러 관점으로 보기
- 글쓴이의 분석 checkpoints 디렉터리의 평문 목록과 app.asar 역분석으로 업로드 경로(upload-credential 주소 → 알리윈 OSS)를 재구성했고, 두 설정 스위치가 업로드를 막지 못한다고 밝혔어요. ferstar 블로그
- 지푸의 해명 9월 18일 공식 사용자 그룹에서 Repo Wiki 기능이 원인이고 데이터는 즉시 파기했다며 사과했고, 코드 공개·제3자 검토·주간 한도 추가 초기화를 약속했어요. IT之家
- 공식 변경 기록 9월 19일 3.14.0 변경 기록에 「저장소 위키의 비정상 업로드 문제 수정」이 한 줄로 적혀 있어요. ZCode 공식 문서
- HN 반응 사용자가 갖지 못한 키로 암호화한 점을 꼬집는 한편, 자기 컴퓨터에는 checkpoints 디렉터리가 없다는 사용자도 있었고 지푸 관계자의 직접 답변은 없었어요. Hacker News