L’entreprise chinoise d’intelligence artificielle Z.ai fait face à une crise de confiance après la découverte par des développeurs que son assistant de codage, ZCode, aurait envoyé silencieusement des données de workspace locales vers des serveurs externes sans consentement explicite.
Z.ai : découverte et détails techniques
Un blogueur technique indépendant connu sous le pseudonyme Ferstar a inspecté un répertoire local de ZCode et constaté la présence d’un fichier compressé de 313 mégaoctets en attente d’envoi vers le service de stockage cloud d’Alibaba Group Holding, après 564 tentatives échouées. Un autre fichier plus petit, de 15 kiloctets, avait, lui, été envoyé avec succès. Les deux fichiers étaient chiffrés, selon ses observations. D’après les noms de fichiers visibles, le plus volumineux contenait un instantané d’un projet commercial sur lequel il travaillait, incluant l’historique Git du projet. Il a indiqué que l’archive ne pouvait être ouverte ni par lui ni par le client ZCode et ne pouvait être déchiffrée que par une clé privée détenue sur l’infrastructure back-end de Z.ai.
Réactions et impact sur la confiance
La société, également connue sous le nom Zhipu AI, a présenté des excuses et corrigé la vulnérabilité mise en cause. Des développeurs estiment toutefois que cet incident risque d’affaiblir la réputation de Z.ai, alors que la cybersécurité prend une place centrale dans les enjeux entourant l’industrie de l’intelligence artificielle.
