Sáng 28/9, Zhipu ra thông báo cho biết đường dẫn tải snapshot kho mã nguồn của ZCode lên đám mây đã được gỡ bỏ, dữ liệu đám mây liên quan đã bị xóa, phiên bản mã nguồn mở được cập nhật đồng bộ lên 3.14.3. Lập trường chính thức mới là "bạn không chủ động, dữ liệu không lên mây": nếu người dùng không chủ động thực hiện thao tác, mã nguồn sẽ không rời khỏi máy cá nhân nữa.
Cùng trong thông báo này là phương án đền bù. Mỗi người dùng được tặng 4 thẻ reset hạn mức theo tuần và 4 thẻ reset 5 giờ, có hiệu lực trong một tháng; từ 28/9 đến 7/10, Zhipu phát cho toàn bộ người dùng 100.000 suất hạn mức 100 triệu token. Điều kiện nhận và quy tắc phân bổ, thông báo không nêu chi tiết.
Vấn đề nằm ở Repo Wiki
Về nguyên nhân sự cố, Zhipu vẫn giữ nguyên cách giải thích trước đó: tính năng "lập chỉ mục kho mã nguồn" của ZCode có một khâu gọi là Repo Wiki, khi tạo trang wiki có thể kích hoạt việc tải dữ liệu kho mã lên đám mây; dữ liệu sau khi tạo xong trang trên đám mây sẽ bị hủy ngay, không lưu trữ. Tính năng này ở giai đoạn đầu ra mắt được bật mặc định, khiến một bộ phận người dùng bị ảnh hưởng.
Cách quy kết này từng bị các nhà phát triển truy vấn ngay từ lần đầu xuất hiện hôm 18/9. Khi đó, blogger công nghệ Ferstar đã bóc tách một mẫu snapshot nặng 313MB, trong đó 86,6% là thư mục .git; những gì bị tải lên không chỉ có mã nguồn hiện tại mà còn cả toàn bộ lịch sử commit và bộ nhớ đệm LFS. Điều khiến các nhà phát triển bận tâm hơn là công tắc liên quan trên giao diện chỉ kiểm soát việc máy chủ có dùng dữ liệu để huấn luyện mô hình hay không, còn việc đóng gói và tải lên cục bộ vẫn diễn ra như thường.
Từ lời xin lỗi đến kiểm toán, cách nhau ba ngày
Nhìn lại theo mốc thời gian, cách xử lý lần này của Zhipu chia làm ba bước.
Ngày 18/9, thông báo xin lỗi được đưa ra, cam kết sớm mã nguồn mở kho lưu trữ, mời bên thứ ba rà soát; ngay hôm đó, hãng đã reset hạn mức theo tuần một lần cho toàn bộ người dùng.
Ngày 21/9, ZCode chính thức mã nguồn mở. Theo Eastmoney và một số cơ quan truyền thông khác, Zhipu đã mời Viện Nghiên cứu Công nghệ thông tin và Truyền thông Trung Quốc (CAICT) và NSFOCUS thực hiện kiểm toán an ninh: kết luận đánh giá kỹ thuật của CAICT cho thấy bucket OSS của Alibaba Cloud tên zcode-prod đang ở trạng thái "không còn dữ liệu trên đám mây", client phiên bản v3.14.0 đã gỡ bỏ tính năng Repo Wiki; NSFOCUS xác nhận bucket này cùng toàn bộ đối tượng dữ liệu bên trong đã bị xóa, không phát hiện chức năng nào trong client có thể kích hoạt việc snapshot kho cục bộ hay gửi file ra ngoài. Zhipu cũng khẳng định dữ liệu mã nguồn mà cộng đồng nhắc tới sẽ không được lưu giữ, công ty cũng chưa từng dùng chúng để huấn luyện mô hình.
Ngày 28/9, tức thông báo lần này, phiên bản được nâng lên 3.14.3, phương án đền bù chính thức triển khai.
Mười ngày đi hết chặng "phanh phui, xin lỗi, mã nguồn mở, kiểm toán, đền bù", nhịp độ không chậm. Việc mã nguồn mở giúp bên ngoài có thể tự đọc code của module snapshot, còn kiểm toán thì do hai tổ chức độc lập đưa ra kết luận riêng — cả hai cách này đều dễ kiểm chứng hơn nhiều so với việc đơn phương tuyên bố "đã khắc phục".
Những phần chưa được làm rõ
Thông báo và kết luận kiểm toán chỉ bao trùm "hiện tại": bucket đã trống, đường dẫn đã bị gỡ. Còn vài câu hỏi mang tính hồi cứu thì hiện tại chưa tìm thấy câu trả lời trong các tài liệu công khai.
Có bao nhiêu người dùng và kho mã bị ảnh hưởng, Zhipu chưa công bố. Quy mô người dùng ZCode đã vượt 1 triệu vào giữa tháng 8, và theo một số nguồn tin đã tăng gấp đôi lên khoảng 2 triệu vào giữa tháng 9; khoảng thời gian Repo Wiki được bật mặc định đã ảnh hưởng tới bao nhiêu người trong số đó, bên ngoài không thể ước tính. Dữ liệu thực tế nằm trên OSS bao lâu, trước khi xóa có bị hệ thống khác đọc hay không, toàn văn báo cáo kiểm toán cũng chưa được công khai, truyền thông chỉ thuật lại phần kết luận.
Với những nhà phát triển vẫn đang dùng ZCode, cách làm an toàn vẫn không đổi: nâng cấp lên 3.14.3, dọn sạch thư mục snapshot còn sót lại trên máy, đổi lại toàn bộ khóa và token từng xuất hiện trong lịch sử Git. Những gì đã bị lộ ra ngoài rồi thì lời hứa "đã xóa" chỉ có thể đảm bảo ở phía nhà cung cấp dịch vụ.
Khoản đền bù là thẻ reset và token, chỉ có ý nghĩa với những ai còn tiếp tục dùng ZCode. Còn những doanh nghiệp đã gỡ bỏ công cụ này vì sự việc, thứ họ cần là bản báo cáo kiểm toán đầy đủ.
Nguồn tham khảo: Thông báo chính thức của Zhipu ZCode, ITHome, Sina Tech, CocoLoop, Eastmoney; đã đối chiếu số lượng thẻ và khoảng thời gian phát hạn mức trong phương án đền bù, số phiên bản mã nguồn mở, cùng cách diễn đạt kết luận kiểm toán của Viện CAICT và NSFOCUS.