一個313MB的加密包排在待傳佇列：ZCode逆向復盤攤開的，是AI編程工具的信任成本帳

日期先擺在前面：這起事件的核心復盤文章於2026年9月18日發布於掘金，作者為開發者殷紫川。此事屬於過去一週內的熱點，但發酵方式是漸進式的，從個人磁碟清理的偶然發現，到macOS與Windows雙端獨立復現，再到Electron客戶端拆解，整條證據鏈是社羣協作補完的。本文以回顧角度，把這次逆向復盤當成一份樣本，看AI編程工具這個品類裡，信任成本正在被記到哪一欄。

從七百多MB的家目錄開始

事情的起點樸素到近乎瑣碎。一位開發者清理磁碟時發現 ~/.zcode 目錄佔了七百多兆，這是智譜官方AI編程桌面應用ZCode的資料根目錄。往下拆，cli/佔257MB，是會話資料庫與執行日誌；computer-use/佔130MB，是打包進去的執行時依賴；真正的大頭是v2/checkpoints/，約303MB。

checkpoints目錄裡躺著一個313MB的.enc加密檔，旁邊的JSON狀態檔寫得相當直白：kind欄位為baseline，代表全量快照；workspaceSizeBytes為345,549,173，encryptedSizeBytes為313,070,842。換算下來，客戶端掃描了整個工作區，把345MB內容打包壓縮再加密成313MB，壓縮比約91%。狀態檔裡還有一個failureCount: 564，早期被廣泛解讀為上傳失敗564次，意味著這個包卡在本地pending目錄等待重傳；原文後續對此欄位的含義另有澄清，但無論哪種解讀，指向的都是同一個結論：這是一套常駐、會重試的傳輸機制，用戶端介面上沒有對應的開關提示。

被快照的專案總規模10GB，剔除依賴後剩下的345MB幾乎全是核心程式碼資產。對一臺開發者機器而言，這是敏感度最高的一類資料，而它被完整打包、加密、排隊準備上雲。

三條線索與一個反直覺驗證點

原文歸納的發現路徑值得記錄，因為它就是普通用戶排查的同款入口。

一是磁碟佔用異常。~/.zcode隨工作區數量線性膨脹，單一專案的baseline包從幾百MB到接近1GB都屬常見，幾個專案疊加就上G。二是資源佔用，有開發者描述Mac突然發燙，排查後發現是ZCode在背景持續打包。三是程序的常駐HTTPS連線，抓到ZCode程序對zcode.z.ai解析IP維持長連線，外加兩個阿裏雲OSS儲存節點。一個本地AI編程工具，正常只該在送出推理請求時連線服務端，長期掛著的物件儲存連線是強訊號。

還有一個反直覺的驗證點：刪掉pending包，半小時內它會重新出現。這排除了「一次性快取寫入」的可能，確認為常駐重傳機制。這個特性也解釋了為什麼單紨刪檔案不構成防禦，任何治理方案都必須繞開重傳邏輯本身。

逆向還原的上傳鏈路

日誌裡看不到任何顯式上傳位址，這是「靜默」能成立的原因之一。還原真相只能拆客戶端：解開Electron的app.asar之後，整條鏈路分兩步。

第一步取憑證。客戶端請求zcode.z.ai（程式碼常數VITE_ZCODE_ENDPOINT_ORIGIN），服務端回傳OSS表單簽名policy與x-oss-signature、動態生成的Object Key、大小限制，以及本輪加密用的RSA公鑰。服務端沒有直接給上傳URL，而是給了一張去OSS的表單支票。

第二步直傳。客戶端在本地把工作區打成tar.gz、做流式加密，然後繞過智譜自己的業務伺服器，直接以HTTP POST表單把加密包送往阿裏雲OSS儲存節點。

這個架構在工程上完全正規，表單簽名直傳是雲端儲存的標準玩法，省頻寬、省業務伺服器負載。問題不在技術選型，在於它沒有以同等強度出現在用戶的知情範圍內。

帳記在哪一欄：信任成本的量化難題

把這件事放進產業帳本，它動的不是研發費用，不是基礎設施成本，是獲客與留客成本裡最難量化的一塊：企業採購決策中的信任折價。

AI編程工具的商業模式高度依賴一個前提，用戶把最核心的資產，原始程式碼，交給工具讀取。GitHub Copilot、Cursor、Windsurf這一梯隊的產品，都曾圍繞「程式碼不用於訓練」「企業資料隔離」做過大量條款工程與合規認證投資。這些投資不產生功能，只產生採購清單上那欄「可以買」。ZCode這次被逆向出的機制，即使其本意是快照回滾或斷點續傳之類的產品功能，一旦「整倉加密上雲」這件事脫離了用戶的預設知情框架，折舊的就是整個品類的信任存量。

傳導鏈可以攤開看。直接承壓的是智譜的ZCode產品線，企業採購評估會把這次復盤列為風險項，安全團隊的審計工時直接計入採購成本。其次承壓的是國產AI編程工具這個羣體標籤，採購方往往不分廠商地做風險折價，一家的事件會變成全品的預設懷疑。相對受惠的，是深耕審計與治理周邊的生態位，這與我們先前分析的CC-Monitor攤開的AI代理信任成本帳是同一條曲線：當AI工具獲得的檔案系統權限越來越大，記錄它每一次操作的審計工具，需求彈性正在往剛性那一端移動。

收束判斷

從數字回到結構。345MB的工作區、313MB的加密包、564次的失敗計數，這組數字本身的技術含量不高，高的是它的位置的精準：正好落在「工具該有多大權限」與「用戶該知道多少」之間那條沒寫進合約的界線上。

對廠商而言，修補路徑其實清楚：功能保留，但把開關、範圍、目的地寫進首次啟動的明確同意流程，並在文檔與介面上同步。這筆合規投入相對於信任崩塌後的獲客成本重估，是便宜的那一側。對用戶與企業而言，這次復盤提供了一份可複製的排查模板：看磁碟、看連線、刪了再看會不會回來。

至於failureCount欄位的最終準確含義，原文已自行澄清早期解讀有誤，這也是整場討論裡值得留意的細節：社羣逆向的證據鏈會自我修正，而官方說明的遲到，本身就是帳本上另一筆隱性成本。