ZCodeの闇：知らないうちにGit履歴がクラウドにアップロードされている件

ZCodeというツールが、ユーザーに無断でGitの履歴をクラウドへアップロードしていることが判明しました。機密情報を含むコミット履歴などが意図せず外部へ流出している可能性があるため、利用には十分な注意が必要です。

Grok Codeの件から何も学んでないな。もしあるとすれば、ハーネス（連携ツール）を信用しちゃいけないってことを学びにすべきだった。特に新しいやつはね。

ZCodeの今月の「無料」プロモーションには裏があるはずだと思ってた。分離しておいた直感は正解だったけど、Ziphuにシークレットなんかを吸い取られちゃった人たちが気の毒でならない。

週末だけで3億トークン消費してた理由がこれで分かったわ。彼らのツールを使ってる場合限定の話だけどね。

話はそれるけど、自分でハーネスを実装してて気づいた面白いことがあってさ。GLMとか特にDeepseekは、ドットファイルや.gitignoreに書かれたファイルを読みたがる傾向があるんだよね。プロジェクト用ファイル、除外ファイル、ドットファイル、外部ファイルで読み取り権限を分けてるから気づけたんだけど、後者3つは常に許可を求めてくる。まあ、シークレットの流出とは無関係で、至極真っ当な理由があるんだろうけど、それにしても笑える。各研究所は、いろんな連中が喉から手が出るほど欲しがっているシークレットにアクセスできそうだしな……。（宣伝だけど、自分用のハーネスはオープンソースで、データを送るバックエンドなんて持ってないから安心して：https://www.opairdev.org/ ）

オープンソースじゃないハーネスは絶対に使うな。コーディングならDeepSeek Harnessが一番のお気に入り。他の作業にはHermesが一番で、その次がOpenCode（長時間実行されるサービスの管理は苦手だけど）かな。みんなPi.devを推してるみたいだけどね。

エージェントがディスク上のあらゆるものに、偶発的であれ悪意を持ってであれアクセスしようとすると考えるのは、甘いかな？オートモードの権限分類モデルなんて、結局は正しく動いてるかどうかを推測してるだけだし。Claude Codeはサンドボックスがブロックしたから回り道したって教えてくれるけど、そうなるとそもそもサンドボックスの意味って何？って自問自答しちゃうよね。

ついでに言うと、Windows DefenderがCodexの作業ファイルを事あるごとに解析用に送信しようとしてくるのが本当に不気味なんだよね（自動許可をオフにして通知で確認させるようにしてる）。他のAIアプリ（Claude Codeとか）ではそんなことないのに、Codexのファイルの中身だけは異常に見たがってる気がする。設定をいじって保存するだけで「リスクがあるかもしれないから解析用にアップロードさせてくれ」ってダイアログが出るんだよ。

そういう話やここで報告されてる事例を見ると、OpenCodeには不満な点もいくつかあるけど使い続けようって気になる。ファイルを勝手に吸い出したり、理由もなくトークン数を水増ししたりするような怪しいことをするインセンティブがないからね。

結局、信頼できる推論プロバイダーなんて一つも存在しないってことか。OpenRouterも使わない理由がこれ。聞いたこともないような怪しいプロバイダーをどうやって信用しろっていうのさ、有名なところですら信用できないのに。業界全体が日を追うごとに、オープンウェイトとセルフホスティングこそが唯一の安全な道なんだと証明してるようなもんだよ。

z.aiが声明を出してるよ。記事のスクリーンショット：https://finance.sina.com.cn/tech/roll/2026-09-18/doc-inisfyex3550493.shtml

Claudeによる翻訳：

ZCodeユーザーの皆様へ

本日コミュニティで議論された件について非常に重く受け止めております。直ちに内部調査を行い、まずは影響を受けたユーザーの皆様に深くお詫び申し上げます。経緯は以下の通りです。

この問題は、ZCodeの「コードベース・インデックス」機能に起因するものです。この機能は、ユーザーがローカルでリポジトリのインデックスを作成し、セッションのチェックポイント復元（過去のバージョン含む）やロールバック、Repo Wikiなどをサポートするためのものです。

Repo Wiki機能でWikiページを生成する際、リポジトリデータのアップロードがトリガーされることがあります。クラウド上でWikiページが生成された後、アップロードされたデータは即座に破棄され、保存はされません。この機能は初期リリース時にデフォルトで有効になっていたため、一部のユーザーに影響が出てしまいました。心よりお詫び申し上げます。本件はすでに修正済みです。

データに関する問題が製品への信頼に直結することを深く理解しております。今後、ZCodeのコードベースをオープンソース化し、より開かれたエコシステムの中で製品を改善していく所存です。また、第三者評価機関を招いてシステムの運用状況をレビューし、その結果を公開し続けることで、透明性を持って皆様の信頼を回復してまいります。

多大なるご迷惑をおかけしましたことを深くお詫び申し上げます。お詫びとして、すべてのZCodeユーザーに対して週間のクォータリセットを1回分追加付与いたします（本日付与）。

引き続きのご注目とご指導をお願い申し上げます。