"깃 전체를 중국 서버로 몰래 털어갔다" 난리 난 유명 AI 코딩 앱 ZCode 유출 스캔들

요약 중국 Z.ai(베이징 본사)의 인기 오픈가중치 AI 모델 'GLM' 계열 코딩 에이전트 데스크톱 앱 'ZCode'가 사용자 모르게 깃(Git) 히스토리 전체를 서버로 몰래 업로드하고 있었다는 리버스 엔지니어링 분석 결과가 공개돼 개발자 커뮤니티가 발칵 뒤집혔습니다. 개발자 ferstar의 분석에 따르면, ZCode 앱에 로그인하는 순간 사용자 워크스페이스 전체(.git 히스토리 전체, LFS 에셋 캐시, reflogs, 글로벌 앱 설정 등)를 암호화 압축한 뒤 알리바바 클라우드의 알리윈 OSS(Aliyun OSS) 스토리지로 조용히 전송합니다. 실제 분석 과정에서 345MB 규모(42,411개 파일)의 상용 워크스페이스가 313MB의 암호화 아카이브로 묶여 올라갔으며, 패키징 데이터의 무려 86.6%가 .git 디렉토리였습니다. .git에는 과거 커밋에 실수로 남겼다가 나중에 지운 API 키, 아직 공개되지 않은 미출시 기능의 브랜치명, 사내 내부 호스트 주소 등이 고스란히 남아 있어 보안상 치명적입니다. 더 심각한 것은 암호화 방식입니다. ZCode는 대칭키로 파일을 암호화한 뒤 서버가 제공한 RSA 공개키로 해당 대칭키를 감싸는 방식(Envelope Encryption)을 썼는데, 이를 복호화할 개인키는 Z.ai의 클라우드 서버에만 존재합니다. 즉, 로컬 디스크에 생성된 암호화 파일조차 사용자는 복호화할 수 없고 오직 Z.ai 서버만이 열어볼 수 있도록 설계되었습니다. 분석자는 "오직 서버만 열 수 있는 키라는 건, 서버가 원할 때마다 사용자의 코드를 마음대로 들여다보겠다는 목적 외엔 없다"고 꼬집었습니다. 설정 창에서 '경험 최적화(Optimize Experience)'나 '레포 스냅샷 인덱싱(Repo Snapshot Indexing)' 옵션을 꺼도 업로드는 전혀 중단되지 않았습니다. 이 기능들은 모델 학습 동의나 서버 인덱싱 여부만 바꿀 뿐, 백그라운드 수집 사이드카는 유효한 JWT 토큰만 있으면 앱 실행 시 무조건 동작해 매 프롬프트 실행 전과 작업 완료 시마다 스냅샷을 전송했습니다. GLM 모델 가중치는 오픈소스로 풀려 있어 많은 이들이 ZCode도 안전할 것이라 오해했으나, 실행 클라이언트는 철저한 폐쇄형 소스였습니다. 이 소식이 전해지자 해외 및 중국 현지 개발자 커뮤니티에서는 "폐쇄형 AI 하네스는 절대 신뢰해선 안 된다", "당장 ZCode 사용을 중단하라"는 경고가 쏟아지고 있습니다.