一款AI编程工具把完整代码仓库连同Git历史、数据库口令等内容打包上传，企业却可能直到安全研究者公开样本后才知道发生了什么。9月20日，智谱AI编程工具ZCode被曝存在这类数据上传行为，太原承明科技随后向智谱发函，要求说明数据删除、流向和是否跨境传输，并保留索赔权利。智谱承认上传行为，称数据“用完即销毁”，并在当天停止相关功能、更新至3.14.0版本。
这起争议的影响不只在于某个功能是否修复。AI编程工具正在获得读取仓库、索引代码、执行命令和调用外部服务的能力，企业过去针对开发者工具制定的边界已经不够用了。与其把问题理解为一次产品故障，不如把它看成一次压力测试：当智能体成为开发环境的一部分，企业究竟要如何确认它看到了什么、传出了什么，以及谁有权让它继续行动。
从代码片段到完整仓库
传统代码助手通常围绕用户主动提交的片段工作，企业可以在网关、项目配置和使用条款中设定相对明确的范围。代码索引功能则不同，它需要扫描更大的目录，甚至访问Git历史，以便建立跨文件的检索关系。一旦工具把整个仓库快照送到云端，泄露的就不只是当前正在编辑的代码，还可能包括旧版本中的密钥、测试数据、内部域名、部署脚本和未公开业务逻辑。
更棘手的是，用户看到的“对话提交”和产品实际执行的“后台索引”并不一定是一回事。若隐私政策只描述前者，却没有清晰说明快照上传、保存期限、处理地点、子处理方和删除验证，企业就无法完成合规评估。即使厂商承诺数据用完即销毁，也需要提供可验证的日志、删除机制和责任约束，不能只靠一句口头保证建立信任。
智能体扩大数据面
AI工具的风险不再局限于模型会不会泄露一段回答。一个能理解项目结构的编程智能体，往往会同时接触源代码、提交记录、环境变量、终端输出、依赖包、构建产物和错误日志。它为了完成任务而读取的上下文越多，潜在暴露面就越大；它能够调用的工具越多，数据从本地环境流向外部服务的路径也越复杂。
近期出现的Agent安全产业链观察，已经把风险拆成故障监控、插件防护、业务规则检查、漏洞扫描、认证审计和责任保险等不同环节。Raindrop、AIR Security、Arcjet、腾讯AI-Infra-Guard、AIUC和Testudo分别从这些方向切入，说明企业客户关注的已不是单一模型的安全评分，而是智能体从接入到运行、从执行到追责的完整链路。
权限要按动作拆分
企业部署AI编程工具时，第一步不应只是选择“允许访问”或“禁止访问”。读取代码、读取历史、运行测试、安装依赖、修改文件、访问网络、读取密钥、推送仓库和发布生产环境，应该被拆成不同权限，并且按照任务临时授予。一个只负责解释错误的Agent，没有理由获得生产凭据；一个负责生成补丁的Agent，也不应默认拥有推送和发布权限。
更稳妥的做法是把高风险操作设置为人工确认，尤其是涉及客户数据、密钥、支付、生产配置和外部网络的动作。权限还要有有效期、作用域和调用记录，任务结束后自动回收。这样即便工具出现误判，攻击者利用插件或智能体提示注入，也很难把一次普通代码分析直接升级成持续性的系统入侵。
审计必须覆盖过程
只记录“模型生成了什么代码”已经不够。企业还需要知道它读取过哪些目录，访问过哪些远程地址，调用过哪些插件，尝试过哪些命令，使用了哪个账号，以及在失败后如何调整策略。对于仓库快照这类高敏感动作，还应记录数据摘要、传输目的地、加密状态和删除回执，并让安全团队能够按项目、用户和工具版本检索。
审计日志不能完全交给被审计的工具自己保管。关键事件应进入企业独立的日志系统，必要时由网关在出口处做内容识别和阻断。对于跨境传输、第三方模型调用和新版本功能，应该有变更审批与灰度测试。只有把行为证据留在企业自己的控制面里，安全人员才能在争议发生后还原事实，而不是等待厂商解释“当时大概做了什么”。
基础设施要接住治理
华为云近期发布Agentic Cloud战略，推出Agentic Infra和智果AgentArts平台，披露已落地500多个AI场景，服务超过10万家企业客户。其基础设施强调稳定运行、故障恢复、Token吞吐以及通用和行业资产复用。这类能力的意义，不只是让模型更快，而是为企业把智能体放进可管理的运行环境提供基础条件。
企业真正需要的云平台，应当把身份、密钥、网络、数据、模型、工具和日志放进同一个治理框架。代码仓库可以放在受控网络中，模型调用通过代理网关完成，敏感文件先脱敏再进入上下文，所有外发内容经过策略检查。基础设施越能明确展示数据去了哪里、任务由谁发起、结果如何回滚，AI工具才越可能从“方便但不透明”的插件，变成可以长期运行的生产系统。
应用落地不能只看模型分数
AI产品的商业化也在提醒企业重新计算自动化收益。ReelCraft推出可玩叙事互动短剧，用户能够在播放过程中做决定改变剧情，并获得超过4000万元种子轮融资；Microduck机器鸭则以较低价格把可交互硬件带给普通用户。它们说明AI应用正在从一次生成转向持续交互，但交互越长，系统保存的偏好、历史和行为数据也越多。
因此，采购AI应用不能只看模型排行榜和演示效果，还要问清楚数据是否默认上传、是否能关闭训练用途、是否提供项目级权限、是否支持导出日志，以及供应商能否在事故后给出完整的删除证明。对需要稳定网络、隔离环境和可审计运行的团队来说，像速维云这样的云资源服务也应当被放进整体架构里评估，重点不是单纯买算力，而是把网络、身份、备份和日志一起纳入控制面。
修复功能不是终点
ZCode停止相关功能并更新版本，是处理事件的必要动作，但它不能替代企业自己的验证。用户需要重新检查升级后的客户端是否仍会扫描隐藏目录、上传Git历史、读取环境变量或调用未声明的远程服务，也要确认旧版本已经从开发机、镜像和团队安装包中清理。对于曾经上传过的数据，还应要求厂商给出范围、留存期限和删除证明。
这起事件给企业的提醒很直接：AI编程工具的采购清单必须加入数据流向、默认权限、离线能力、审计接口、版本变更和应急退出机制。模型可以提高开发效率，云平台可以降低部署门槛，安全边界却不能靠默认设置自动形成。谁能把智能体的每一次读取、判断和行动都纳入可见、可控、可追责的流程，谁才真正拥有把AI接入核心业务的资格。
