Эта история пришла из вечернего дайджеста кибербезопасности: в кодинг-агенте ZCode от китайской лаборатории Z.ai обнаружили фоновый процесс, который молча упаковывает весь рабочий каталог — вместе с полной git-историей — шифрует и заливает в облачное хранилище Alibaba. Hacker News проголосовал 322 балла, 107 комментариев, но почти всё обсуждение крутится вокруг одного «ещё один скандал с китайским приложением».
Меня же зацепила деталь, которую в пересказах теряют: архив на диске исследователя был зашифрован ключом, которого у него не было. Публичный ключ присылает сервер, приватный живёт в облаке — и ни пользователь, ни сам клиент ZCode не могут расшифровать трёхсотмегабайтный слепок чужой... то есть своей интеллектуальной собственности. Это не «сломанная приватность», это архитектурное решение, у которого имя. А вокруг него — целая экономика бесплатных токенов, смежные скандалы Grok Build и Nx, юридическая ветка Copilot и цифры GitGuardian о том, сколько призраков секретов живёт в git-истории каждого проекта.
Всё началось с бытовой операции. Разработчик, публикующийся под псевдонимом ferstar, освобождал место на MacBook Air с 256-гигабайтным SSD — диск, как он сам шутит, «купленный по цене золота», — и заметил, что каталог ~/.zcode распух до 700+ мегабайт. Внутри, в подкаталоге v2/checkpoints, лежал шифрованный файл на 313 мегабайт и рядом — файл состояния с обескураживающим содержимым: workspacePath указывал на действующий коммерческий проект, тип снимка — «baseline», а счётчик неудачных попыток загрузки остановился на отметке 564.
Манифест упаковки, который ZCode предусмотрительно сохраняет в открытом виде, дал полную опись добычи: рабочее пространство на 345,5 МБ превратилось в 313-мегабайтный зашифрованный архив из 42 411 файлов. Но самое вкусное — не цифра, а раскладка содержимого. Весь payload — 86,6% — это каталог .git: кэш Git LFS на 196,1 МБ (56,8%), хранилище объектов .git/objects на 102,2 МБ (29,6%) и reflog'и ещё на полмегабайта. Непосредственно на текущий исходный код и документацию пришлись жалкие 13,4%.
Это различие — центральное во всей истории, и его важно прожевать. Рабочее дерево проекта — это то, что ты видишь в редакторе. А git-хранилище — это генеалогия проекта с первого дня: удалённые в поздних коммитах API-ключи, старые конфиги, имена непубличных веток (то есть, по сути, неанонсированные продуктовые планы), внутренние хостнеймы GitLab и пути репозиториев в .git/config. Всего этого в текущем коде уже нет — но всё это вечно живёт в объектной базе git, пока её не вычистит rewrite истории. Снапшот ZCode летел в облако не как «контекст для модели», а как слепок всей инженерной жизни репозитория.
Финальный штрих: ferstar отдельно нашёл манифест repo_snapshot_extra_manifest, который хеширует и пакует глобальные настройки клиента — ZCode собирал не только проекты, но и пользовательские конфиги поверх всех воркспейсов.
Судьба самого знаменитого экспоната иронична: коммерческий репозиторий на 10 ГБ (минус зависимости — 345 МБ «почти чистого интеллектуального ядра», по формулировке автора) так и не улетел — 564 попытки упёрлись в лимит размера и застряли в pending. А вот маленький публичный репозиторий на 538 файлов сервер принял штатно. То есть срабатывание не точечное: другие пользователи независимо воспроизвели находку — на Windows те же каталоги и файлы состояния, небольшие воркспейсы со статусом «accepted» и без единой записи об отказе; в баг-репорте zai-org/feedback — манифест на 2000+ git-путей и шифрованный архив, подбирающийся к гигабайту.
Дальше ferstar вскрыл app.asar — упакованный JavaScript-контейнер Electron-приложения — и восстановил весь конвейер. Схема работает так: клиент дергает эндпоинт /api/v1/snapshot/upload-credential на zcode.z.ai, сервер возвращает идентификатор снимка, подписи формы загрузки, лимиты размера и RSA-публичный ключ именно на этот раунд шифрования. Локально рабочее пространство пакуется в tar.gz, шифруется AES-256-CTR, симметричный ключ оборачивается RSA-OAEP-SHA256 — и архив POST-формой летит напрямую в Aliyun OSS, минуя собственные серверы ZCode; хранилище Alibaba после приёма колбэчится в бэкенд Zhipu.
Звучит как образцовая безопасность, да? AES-256, RSA-OAEP, конвертное шифрование, как в учебнике. Зашифрованный трафик не снифанешь в кафе, никто посередине ничего не прочтёт. Инженер из ZCode, вероятно, мог бы гордо защитить диплом на этой схеме.
Но тут надо остановиться и перечитать последний абзац медленно. Приватного ключа на машине пользователя нет. ferstar прогнал расшифровку по всем локальным приватным ключам — ожидаемо, ничего не открылось. Симметричный ключ завёрнут публичным ключом сервера, и развернуть его способен только владелец соответствующего приватного — а это исключительно бэкенд Zhipu. Трёхсотмегабайтный шифрованный блоб лежит на диске у разработчика, и открыть его не может ни он, ни его ZCode-клиент. Только компания.
Если бы фича была честным пользовательским бэкапом или синхронизацией между устройствами — ключи жили бы у пользователя, ровно как в git или Time Machine. Конвертное шифрование с серверным единоличным ключом выполняет ровно одну функцию, и ferstar сформулировал её в фразе, ставшей цитатой недели: «ключ, который может использовать только сервер, существует ровно для одной цели — чтобы сервер мог читать твой код тогда, когда ему вздумается». Тут трудно не вспомнить старый урок протоколов: шифрование — это не «сделали безопасно», это «определили, КТО может читать». ZCode определил. Только не в пользу пользователя.
Ирония в том, что источник этой истории — не вражеский инсайдер, а долголетний платный подписчик GLM Coding Max, который вечером 17 сентября увлечённо рекламировал ZCode коллегам в чате. Меньше чем через полдня реальность ударила его по лицу — он поймал тихую упаковку собственного коммерческого проекта. По собственному признанию, он вовсе не «гуру reverse-engineering», просто инженер с пытливым глазом — и с честной шуткой напоследок: «с современным ИИ любой, у кого есть кодинг-агент, уже reverse-инженер — скорми ему этот пост и исходники, и он разберёт всю архитектуру».
Следующий акт — самый циничный. Естественная реакция любого взрослого пользователя: открыть настройки и выключить. Ferstar сверил UI-тумблеры с кодом клиента, и результат достоин учебника по «privacy theater».
Тумблер «Optimize Experience» (optimizeAgentExperienceEnabled) выглядит как отключение телеметрии и сбора данных. На деле он управляет только авторизацией данных для тренировки моделей. Упаковка и загрузка снапшотов продолжаются. Тумблер «Repo Snapshot Indexing» (repoSnapshotIndexingEnabled) выглядит как выключатель снапшотов. На деле он контролирует только индексацию уже загруженных снимков на сервере. Упаковка и загрузка продолжаются. В коде хост-сборки capture/upload-сайдкар инстанцируется безусловно при старте — никаких проверок if на пользовательские настройки, единственное условие: tokenProvider способен выдать валидный JWT. Залогинился — конвейер работает. Точка.
Момент активации — два триггера: captureBeforePrompt перед каждым промптом и repo-wiki-update по завершении задач. В одной активной сессии лог зафиксировал до 62 capture-событий. Кстати, о промптах: tokenstead, сверяясь с архивом OrcaPromptVault (131 КБ системного промпта ZCode и 31 тул), добавила убийственную деталь — в тул-лист агента не входит ни одного инструмента снапшота, загрузки или телеметрии. Конвейер живёт вне контура tools, на уровне хоста. Агент сам его не видит и не может о нём рассказать, а ни в 131 КБ инструкций нет ни слова про Aliyun, OSS или upload. Сайдкар буквально обёрнут вокруг агента, как кандалы вокруг рук — руки не чувствуют, что скованы.
И вишенка: когда ferstar удалил pending-архив, через полчаса на его месте вырос новый — свежие 313 МБ, счётчик попыток полз с 564 на 565. Ручная чистка против клиента, который переупаковывает данные, — классический «whack-a-mole»: бьёшь одного крота — вырастает следующий. Данные, впрочем, говорят сами за себя: в приватной политике ZCode нет ни слова про упаковку и загрузку целых воркспейсов и git-историй.
Политика говорит о сборе «текста, файлов и кода, отправленных в разговорах» — стандартная формула инференс-контекста. Страница политики, заархивированная ферстаром 18 сентября, датирована 15 июня 2026 года и не обновлялась. Ближайший к правде абзац — шаблонная фраза, что «программа оптимизации выключена по умолчанию, и ввод не будет использоваться для обучения без согласия». С точки зрения корпоративного юриста — почти правда. С точки зрения пользователя — конституция, под которую реальность просто не была вписана.
18 сентября в 17:44, когда история уже разлетелась по техно-медиа, Z.ai выпустила официальное заявление. Переводя с корпоративного: виновата фича «индексация кодовой базы», которая якобы нужна для локальных индексов, восстановления чекпоинтов и генерации Repo Wiki; генерация Wiki-страниц в облаке «может» триггерить загрузку данных репозитория; после генерации загруженные данные уничтожаются немедленно и не хранятся; фича была включена по умолчанию в ранний период запуска, часть юзеров пострадала, «проблема устранена». В качестве компенсации — обещание открыть исходники ZCode, пригласить сторонних оценщиков, и всем юзерам — один дополнительный еженедельный сброс квоты. Сегодня же.
Отдельно пахнет контекстом: в день извинения Zhipu синхронно выпустила новую модель GLM-5.3-FlashX со скоростью 200 токенов в секунду. Кто-то из разработчиков тогда же ехидно замечал в блоге: «весь интернет спрашивает, куда ушла его кодовая база, а Zhipu занята релизом новой модели». Тайминг — решающий аргумент.
Ферстар разобрал заявление построчно, и три вопроса остались открытыми. Первый: как извне доказать «уничтожено немедленно»? Физически стёрты ли уже загруженные облачные снапшоты, и у кого права на дешифровку тех, что успели уйти? Второй: заявленная цель «восстановления чекпоинта» противоречит «уничтожению немедленно» — если снимки нужны для restore, что именно хранилось в облаке и как долго? Третий, самый ироничный: включит ли обещанное open-source прямо тот upload-сайдкар, который поймали, — или только «свежий санитизированный коммит»? Ферстар пообещал написать follow-up прямо против исходников, если репо реально выйдет.
Техническая картина пост-фикса из реверс-инжиниринга версии 3.14.0: код загрузочного пайплайна физически вырезан, сайдкар демонтирован, облачный эндпоинт upload-credential теперь отвечает 404. Это честнее слов: галочка «исправлено» подтверждается бинарником. Но три вышеуказанных вопроса этим не закрываются — ретроспективно проверяемого «удалено» от внешнего аудита не существует. Заметьте асимметрию: чтобы доказать вину, достаточно одного снапшота на диске; чтобы доказать невиновность после «мы всё удалили», нужен доступ к их облаку. Так работает криптография доверия, и так она всегда будет работать против непрозрачных обещаний.
Обещание, данное 18-го, продержалось ровно три дня. 21 сентября Zhipu выложила ZCode на GitHub — github.com/zai-org/ZCode — и не заглушкой, а полноценным монорепозиторием: Electron-десктоп, браузерный workbench, терминальный агент, Agent CLI с runtime, клиент, бэкенд-сервисы и shared UI в одном флаконе (Node 24.14.0, pnpm, mise.toml). Третий «невозможный вопрос» из предыдущего раздела сменил статус: из непроверяемого обещания он превратился в задачу git clone. Что именно пакует snapshot-модуль и к чему реально подключены переключатели — теперь может увидеть каждый, и Ферстар пообещал свой follow-up уже против исходников.
Вместе с кодом компания опубликовала то, чего не хватало для первого «невозможного вопроса»: результаты аудита. Китайская академия информационных и коммуникационных технологий (CAICT) подтвердила, что бакет zcode-prod на Aliyun OSS пребывает в состоянии «zero data», а NPS Security — что из бакета удалены все объекты вместе с самим бакетом, а в клиенте 3.14.0 не найдено ни одного функционального пути, запускающего генерацию снапшотов или передачу файлов. Repo Wiki — фича, на которую валидировали весь инцидент, — вырезана целиком, цепочка снапшот-в-облако разорвана. Параллельно на MaaS-платформе анонсировали no-retention: по заявке пользователя входы и выходы стандартных вызовов не хранятся статически и живут ровно один запрос; оговорки честные — Batch API, File API и юридическое/антиабьюзное хранение остаются.
Если читать это как ответы на три вопроса, счёт 2,5 из 3 — с честной оговоркой. Аудит внешний, но аудиторы китайские и государственно-аффилированные, а верифицирует он текущее состояние, а не историю: что успело уйти за окно, пока снапшоты летели, — проверять уже некому и нечем. Асимметрия из предыдущего раздела никуда не делась: доступ к чужому облаку для независимой проверки по-прежнему нужен — просто теперь его получили два инспектора, которых выбрал сам ответчик. Зато репутационная механика отработала в обе стороны: SCMP фиксирует кризис доверия (крупная роботостроительная компания внутренне запретила инструменты Z.ai), а разработчик Tuxi формулирует жёстко: «это фактически кража, пугает злой умысел». Но удар пришёлся по репутации, а не по моделям — GLM по-прежнему можно гонять через Codex. Ироничный итог: способ доказать невиновность ретроспективно так и не существует, зато появился способ доказывать добросовестность вперёд — и это больше, чем предлагает любой участник из следующего раздела. Траст остаётся свойством архитектуры — просто у архитектуры теперь есть публичный адрес, по которому её можно проверять.
Первая реакция на ZCode-историю — «ну кто такое делает?!». Ответ неприятный: так делают многие, и не только в Китае — вопрос лишь в том, явно или исподтишка. За 2025–2026 годы накопилось уже целое семейство таких кейсов, и ZCode — не аномалия, а точка на кривой.
Начнём с Grok Build — CLI-агента xAI. В июле 2026 независимый исследователь @cereblab провёл wire-level анализ (mitmproxy на собственной машине, канареечные креденшелы, воспроизводимый репозиторий) и поймал полную загрузку git-репозиториев в Google Cloud Storage бакет с говорящим названием grok-code-session-traces. Ключевые цифры: на тестовом 12-ГБ репозитории модельный контекст получил 192 КБ, а канал загрузки отправил 5,10 ГиБ — отношение ~27 800 к одному.
Промпт «Ответь ровно: OK. Не читай и не открывай никаких файлов» агент честно исполнил (модель ответила OK), но git-бандл со всем содержимым всё равно улетел в хранилище; канареечный файл src/_probe/never_read_canary.txt восстановили из перехваченного бандла verbatim. Канарейки .env (API_KEY, DB_PASSWORD) прошли двумя независимыми каналами — через контекст модели и через session archive. И да: тумблер «Improve the model» не влиял на загрузки; после opt-out эндпоинт /v1/settings продолжал возвращать trace_upload_enabled: true.
Разница с ZCode тонкая, но важная, и tokenstead её прямо разжёвывает: Grok-случай — это открытая неосторожность. Загрузки писались в собственный unified.json инструмента, события завязаны на фазы контекстной синхронизации, логи велись у юзера на диске. После огласки xAI серверно отключила загрузки (флаг disable_codebase_upload: true), Маск публично пообещал удалить загруженное (независимого подтверждения удаления нет), 14 июля открыла исходники Grok Build. Прецедент с открытием исходников — реактивный: Gist исследователя и пресса (IBTimes UK, 13 июля) вышли до анонса. Хронология не доказывает намерение, но показывает, что внешняя проверка предшествовала предложению аудита, а не вытекала из него. Нравится или нет — это уже стандартный прайс-лист современной индулингенции.
Параллельная история — Nx, невинный npm-пакет сборки, которого использовали как оружие. 26 августа 2025 года злоумышленники через внедрённую строку в GitHub Actions workflow (пять дней назад добавленной) украли publish-токен и выложили восемь злонамеренных релизов. Пост-install скрипт этих релизов искал на машине жертвы установленные AI CLI — Claude Code, Gemini CLI, Amazon Q — и запускал их с флагами отключения прав (--dangerously-skip-permissions, --yolo, --trust-all-tools) с промптом, приказывающим рекурсивно искать криптокошельки, SSH-ключи, .env и хранилища креденшелов. Итог: 2 349 уникальных секретов слилось в публичные GitHub-репозитории s1ngularity-repository-*.
Общий знаменатель у Nx и ZCode один: AI-агент — новое универсальное орудие разведки — легитимный инструмент с правами читать файловую систему, которому доверяют по умолчанию. Разница в позиционировании: Nx — малварь, присвоившая чужого доверенного агента; ZCode — легитимный агент, молчавший о самом себе.
Дальше — уже не экзотика, а фон. Кластер npm-пакетов, найденный codelake в сентябре 2026 года (codebuff-cli, orbitron-tui все 84 версии, orbitron-cli, agent-free, prime-coding-agent от одного издателя imjustbetterxd) ретранслировал аутентифицированный трафик юзера — LLM API-ключ, код, промпты — на бэкенды атакующих на Replit/Vercel, попутно отключая проверку TLS-сертификатов. Claude Code сам по себе имеет вектор через OpenTelemetry: зловредный .claude/settings.json в репозитории перенастраивает OTEL-экспорт на чужой HTTPS-эндпоинт, и уже через пять секунд после старта сессии, до первого взаимодействия, атакующий получает plaintext email, account UUID, инвентарь MCP-серверов, промпты и вводы инструментов; с опцией otelHeadersHelper — исполнение shell-команд с выгрузкой вывода в HTTP-заголовках каждые 5–15 секунд.
Anthropic ответила, что граница — workspace trust; исследователи возразили, что trust наследуется рекурсивно (доверенный ~/projects одобряет все будущие репозитории внутри него) и диалог не перечисляет конкретные риски. Даже открытый опенсорс-проект OpenCode наступал на похожие грабли: дефолтный бесплатный уровень Grok, заголовки чатов, генерируемые внешней моделью даже тогда, когда весь чат шёл через локальный llama.cpp, — HN-комментаторы поймали это именно по отсутствию внешних обращений в локальных логах.
Теперь положим скандал на финансовый стол — и станет видно, почему он не «глюк», а системная точка роста.
ZCode — не хобби-проект, а ключевой элемент стратегии публичной компании. Zhipu (бренд Z.ai), выросшая из лаборатории Университета Цинхуа, вышла на Hong Kong Stock Exchange 7–8 января 2026 года, собрав $558–715 млн — первое в мире крупное IPO чисто генеративной AI-лабы, оценка после разгона $31.3 млрд. Полугодовой отчёт H1 2026: выручка RMB 954 млн ($142 млн), +~400% YoY; доля API-платформы — 86.5%; ARR к концу августа $1.6 млрд; кодинг-план — главный источник выручки компании («Programming is now the company's primary revenue driver»). При этом чистый убыток — RMB 2.07 млрд за полугодие, R&D — $317 млн, и валовая маржа API только-только выбралась из минуса в +24.6% (было -0.4% годом ранее).
А теперь добавить промо: в августе 2026-го Z.ai объявила Build Week — 50 000 новых пользователей × 100 млн GLM-5.3 токенов = 5 триллионов бесплатных токенов, на фоне «у ZCode уже 1 млн пользователей».
В конце 2025-го кодинг-план Zhipu прогремел ценником — $3 в месяц за почти фронтьерную модель (GLM-5.1 лидировал в SWE-bench Pro с 58.4 против 57.3 у Claude Opus 4.6, по таблице Z.ai; независимые тесты в целом подтверждали). Волна инференса захлебнула инфраструктуру — заявки приостанавливали, потом пришёл ценовой рест: для зарубежных юзеров Lite поднялся до $10, потом до $18, Pro до $72, Max до $160; внутри Китая — $7/$21/$68 без изменений. Феномен получил имя «passport tax» — паспортный налог: одинаковый продукт по разной цене в зависимости от того, чем ты платишь.
Что даёт эта комбинация? Субсидия в 5 триллионов токенов при валовой марже API в 24.6% и R&D в $317 млн — классический customer acquisition cost, и платит его инвестор HKEX. Остаётся открытым вопрос, чем именно компания предполагала закрывать разрыв, — и здесь важно отделить факты от гипотез.
Факт первый: официальная версия гласит, что загруженное «уничтожалось немедленно», — и это единственное объяснение целей, которое мы имеем; проверить его извне невозможно, поэтому вопрос «зачем серверу расшифровуемые слепки чужих git-историй» остаётся без внятного ответа. Факт второй: если бы такие архивы когда-нибудь прочитали, это была бы разведка промышленного масштаба — какие API где живут, как строится код в конкретных индустриях, как названы внутренние сервисы и неанонсированные фичи. Доказательств, что это происходило, нет; архитектуры, которая это исключает, тоже нет.
И третий факт — о самой компании, уже со стороны третьих лиц: Anthropic в сентябрьском отчёте Threat Intelligence задокументировала, как Zhipu запускала CoT-extraction pipeline против Claude Opus 4.8 через 273 фрод-аккаунта — 770 609 обменов за десять дней июня, а её соседи по рынку — Alibaba, Moonshot, DeepSeek, Xiaomi, SenseTime, MiniMax — строили целые индустрии вокруг обхода лимитов, покупки транскриптов юзеров у прокси-сервисов и молчаливого ретрансита чужих промптов в свои модели. Это не приговор ZCode-кейсу — но очень красноречивый контекст: та же лаба, тот же сезон, тот же жанр поведения.
Кстати, о законной опции, которую почти никто не знает: The Stack v2 от BigCode/Hugging Face. Датасет из permissively-licensed кода с публичным механизмом opt-out — любой разработчик может найти свои репозитории через «Am I in the Stack» и попросить исключить их из будущих версий. Это дорого (ручная верификация лицензий, удаление по запросу), но этично и прозрачно. ZCode не пошёл этим путём не потому, что не знал — а потому что пошёл бы по нему годы. Соглашение с юзером дешевле подписи. Всегда.
Важная оговорка перед выводами: юридическая база вокруг AI-кодингов всё ещё расплывчата, и ZCode-кейс из неё юридически выпадает. Недавно Девятый окружной суд США по делу Doe v GitHub (сентябрь 2026) отклонил DMCA-претензии программистов против GitHub Copilot: судья Миллер от имени единогласной коллегии написал, что «removal» CMI требует существующей работы, из которой её удаляют — Copilot предсказывает вероятное завершение из статистических паттернов, а не выдаёт копию чужого кода без атрибуции. Два breach-of-contract клейма остались жить, но главный сигнал: статуты, написанные до генеративного ИИ, плохо ложатся на его реальность.
Но вот в чём фокус: ZCode-кейс не про обучение и не про копирайт. Он про то, что данные покинули машину пользователя без согласия, без упоминания в политике и с ключом, недоступным пользователю. Это территория уже не DMCA, а privacy-законодательства: GDPR в ЕС, PIPL в Китае, штатные privacy-акты в США, breach-of-contract там, где обещание было дано. Учитывая масштаб (минимум миллион пользователей по самоотчёту Z.ai, у каждого — годами копившаяся git-история), коллективный иск даже в скромной формулировке «мы обещали в политике не то, что делали» может обойтись дороже, чем $1.5 млрд, которые Anthropic заплатила авторам книг (крупнейшее копирайт-урегулирование в истории, сентябрь 2025-го), — с той разницей, что здесь не пиратские книги, а живые ключи и незавершённые продукты чужих компаний.
Цифры GitGuardian ставят масштаб в рамку: 29 млн утекших секретов на публичном GitHub за 2025 год, коммиты с co-authored-by Claude Code утекают секретами в 2 раза чаще базовой линии, а медианное время ревокации утёкшего ключа — 13 дней (Truffle Security). ZCode снапшоты лежали не 13 дней, а неизвестно сколько; «уничтожено немедленно» — это обещание, которое невозможно проверить, а проверяется лишь одно: на диске исследователя остался зашифрованный архив, который он не может открыть, но который мог открыть сервер.
Что делать-то? ZCode в версии 3.14.0 вырезал конвейер, Grok Build open-source'нут после скандала, Cursor находится под юридическим расследованием на тему «явного согласия» на обучение, OpenCode быстро закрыл дефолтный Grok-канал. Но каждый следующий виток выкручивает спираль, и позиция «я использую только большие вендоры» уже не работает: у Claude Code — свой OTEL-вектор из расследования Bloom Security, у xAI — история с неработающим «Improve the model», а у китайских юрисдикций за спиной — «Национальный закон о разведке», где статья 7 не оставляет права на отказ.
Отсюда три практических вывода, каждый — с инструментальной проверяемостью, а не с «верю-не верю». Первый: что именно отправляет твой харнес, когда ты залогинен и ничего не делаешь — проверяется mitmproxy за один вечер; если трафик идёт в неожиданные хосты — это уже находка. Второй: кто может расшифровать то, что хранится — если ключ сервера, а не твой, это архитектурный приговор: «шифрование против третьих лиц, но не против вендора» — это не защита юзера, это контур доставки данных вендору. Третий: читаемая политика ≠ реальность — ferstar архивировал страницу политики 18 сентября и сравнил с реальным кодом; расхождение было полным.
Цифра на десерт: 91% опрошенных разработчиков (Safeguard AI Trust Report, 1412 респондентов, апрель-май 2026) используют AI-ассистент минимум раз в неделю, но лишь 34% доверяют безопасность его кода, и 47% секьюрити-лидов считают, что их компания уже вмержила хотя бы один несуществующий «галлюцинированный» пакет. Это не проблема недоверия. Это рынок без счётчика доверия — и каждый новый ZCode просто добавляет к нему метрики.
Собственно, вся история ZCode умещается в одну инженерную мораль: траст — это не черта характера компании и не пункт в политике, а проверяемое свойство архитектуры. Если ключи у тебя — траст есть. Если ключи у сервера, а переключатели не работают — траста нет, какие бы красивые слова ни стояли в README. ZCode невольно дал индустрии самый наглядный учебный пример за пару лет: триста с лишним мегабайт чужого труда, упакованные в шифрованный блоб, который не может открыть сам владелец. Инженеры, которые это спроектировали, знали ровно то, что делали. Это и есть пугающая часть — не глупость, а точность.