Zhipu ZCodeのデータ漏洩、AIエージェントメーカーのセキュリティ監査における盲点を露呈

TREE NEWS 報道：セキュリティ研究者がZhipu AIのコーディングエージェント「ZCode」をリバースエンジニアリングしたところ、このツールがユーザーのプロジェクト全体——完全な変更履歴や機密性の高い可能性のある認証情報を含む——を、実質的なオプトアウト機能なしにクラウドサーバーへ無断でパッケージ化してアップロードしていたことが明らかになり、AIエージェントメーカー自身のデータ行為を誰が監査するのかという懸念が再燃している。

9月18日に独立系研究者ferstarが公開したこの発見では、ローカルドライブ上に313MBの暗号化ファイルがあり、約42,000件のファイルが含まれ、その86%以上がプロジェクト履歴の記録であった。暗号化キーはZhipuのサーバー上にのみ存在していたため、ユーザーは何が送信されているかを検査できなかった。アップロードは各ユーザークエリの前とタスク完了後にトリガーされ、1回のアクティブセッション中に最大62件のスナップショットが観測された。保留中のファイルを削除しようとすると、自動的に再生成されて再試行され、564回の失敗試行が記録された。

Zhipuは迅速に謝罪し、この問題をセッション復元とRepo Wiki生成をサポートするデフォルトオンの「リポジトリインデックス」機能に起因すると説明した。同社はZCodeのコードベースのオープンソース化、第三者監査の導入、週次クォータリセットによるユーザーへの補償を約束した。しかしコミュニティのアナリストは、なぜローカルインデックスにクラウドアップロードが必要なのか、なぜ履歴記録がすべてのセキュリティフィルターを回避したのか、なぜ削除されたv3.12.2の変更履歴に「リポジトリスナップショットアップロードのメモリ使用量」の最適化が言及されていたのか——これは偶発的な事故ではなく意図的に維持された機能であることを示唆する——について説明がなされていないと指摘した。

市場への影響

これは孤立した事件ではない。7月には独立系研究者cereblabが、xAIのGrok Buildがプロジェクト全体——ユーザーが明示的に除外指定したファイルや未編集のパスワードを含む——をGoogle Cloud Storageにアップロードしていたことを記録した。さらに以前には、AnthropicのClaude Codeが位置情報と身元メタデータを送信していることが判明し、エンジニアが意図的な実験であると認めた。これらのいずれも規制当局や業界監査によって発見されたものではなく、すべてコミュニティの調査によって明らかになった。

AIインフラとクラウドプロバイダー: データ処理に対する厳しい監視は、エージェント型コーディングツールの企業導入を鈍らせる可能性があり、透明で監査可能なアーキテクチャを持つベンダーが有利になる。クラウドストレージプロバイダーは、検証可能なデータ削除保証を提供するよう圧力を受ける可能性がある。
サイバーセキュリティと監査企業: 独立したエージェント行動監査、ネットワークトラフィック分析、コンプライアンス認証の需要が高まる可能性が高い。保険に連動したレビューメカニズムが新たなニッチとして登場するかもしれない。
企業ソフトウェア調達: 大手企業顧客は契約にデータ行為条項と監査権を追加すると予想され、AIツールベンダーのコストを押し上げ、エンタープライズ級のコンプライアンスとコンシューマー級のエクスポージャーという二層市場を生み出す可能性がある。
オープンソースAIツール: OpenAIのCodex CLIやGemini CLIの同様の動きに続くZhipuのオープンソース化の約束は、透明性競争を加速させるかもしれない。しかし、クライアント側のみのオープンソース化では、サーバー側のデータ処理は検証不能なままである。

投資家向けの背景

核心的な問題は構造的である。同意を与える主体（個人開発者）とリスクを負う主体（その雇用主と顧客）が異なるのだ。既存のAIセキュリティフレームワーク——OWASPのエージェントトップ10、シンガポールのガバナンスフレームワーク、NISTの取り組み、EU AI法の高リスク義務——はすべて、脅威は外部の攻撃者から来るものであり、メーカー自身からではないと想定している。現在、ベンダーのデータ行為を規制するルールは存在しない。

投資家にとって、これはAIエージェントの採用が信頼のボトルネックに直面する可能性を示唆している。検証可能なデータ処理を——オープンプロトコル、第三者監査、または保険に裏付けられた説明責任を通じて——実証できる企業は、プレミアムな評価を得られる可能性がある。逆に、不透明なデータ慣行を持つベンダーは、企業からの反発、規制当局の注目、評判の毀損というリスクを負う。この事件はまた、潜在的な投資テーマを浮き彫りにしている。AIデータガバナンスのインフラ層——トラフィック監視、監査ログ、コンプライアンスツールを含む——は、企業が自社のコードが自社のものであり続けるという約束ではなく証明を求めるようになるにつれて、需要の増加が見込まれるだろう。