--- title: "ZCode ve Sessiz Git Geçmişi Sızıntısı: Kapalı Kaynaklı Kodlama Ajanlarının Güvenlik Riski" url: https://blog.edumints.com/zcode-ve-sessiz-git-gecmisi-sizintisi-kapali-kaynakli-kodlam-22ueudwq category: "Güvenlik" date: 2026-09-18T15:11:15.518Z publisher: Edumints Blog lang: tr-TR source_name: "Hacker News" source_url: https://tokenstead.ai/guides/zcode-silent-git-history-upload --- # ZCode ve Sessiz Git Geçmişi Sızıntısı: Kapalı Kaynaklı Kodlama Ajanlarının Güvenlik Riski 18 Eylül 2026'da ferstar adlı araştırmacı, açık ağırlıklı GLM model ailesinin (GLM-5.3-Flash gibi) arkasındaki Pekin merkezli Z.ai şirketinin masaüstü yapay zeka kodlama aracı ZCode hakkında çarpıcı bir tersine mühendislik analizi yayımladı. Bulgulara göre ZCode, kullanıcı oturum açtığı anda tüm çalışma alanını —tam `.git` geçmişi, LFS varlık önbelleği, reflog kayıtları ve global uygulama yapılandırmaları dahil— sessizce paketleyip şifreleyerek Alibaba Cloud'un nesne depolama servisi Aliyun OSS'e yüklüyor. Araştırmacının tespit ettiği örnekte; 345 MB'lık ticari bir çalışma alanından 42.411 dosya taranarak 313 MB'lık şifreli bir arşiv oluşturulduğu ve arka planda 564 başarısız yükleme denemesinin kaydedildiği görüldü. ## Açık Ağırlık ve Kapalı Altyapı Yanılgısı Yerel yapay zeka (local-AI) ekosisteminde çalışan geliştiricilerin düştüğü en büyük yanılgı, GLM açık ağırlıklı olduğu için ZCode uygulamasının da açık kaynak kodlu olduğunu varsaymalarıdır. Ancak model ağırlıklarının açık olması, aracı çalıştıran arayüzün (harness) açık olduğu anlamına gelmez. ZCode, Z.ai tarafından kendi modellerine özel geliştirilmiş kapalı kaynaklı tescilli bir istemcidir. Olayın duyulmasıyla ferstar'ın paylaşımı 276.000, FeiZ'in "ZCode'u hemen devre dışı bırakın" başlıklı uyarı zinciri ise 63.800 görüntülenmeye ulaştı. Kendi açık kaynaklı ajanını geliştiren Petri Kuittinen ise duruma dikkat çekerek, *"Kapalı kaynaklı yapay zeka altyapılarına kesinlikle güvenmeyin"* uyarısında bulundu. ## Zarf Şifreleme: Anahtar Yalnızca Sunucuda ZCode uygulamasında şifreleme mimarisi olarak zarf şifreleme (envelope encryption) kullanılıyor: Veri yükü simetrik bir anahtarla şifreleniyor, bu anahtar ise sunucu tarafından sağlanan RSA-OAEP açık anahtarı ile sarılıyor. Bu anahtara karşılık gelen özel anahtar (private key) ise yalnızca Z.ai'nin bulut sunucularında bulunuyor. ferstar, yerel sistemdeki tüm anahtarlarla arşivi çözmeyi denese de başarılı olamadı. Kullanıcının diskinde duran 313 MB'lık şifreli metin ne kullanıcı ne de yerel istemci tarafından açılamıyor. Bu durum, sunucunun dilediği an kullanıcının tüm kod tabanını okuyabileceğini kanıtlıyor. ## Neler Paketleniyor? (Veri Dağılımı) Uygulamanın `app.asar` dosyasından ve yerel manifestosundan elde edilen 42.411 dosyalık arşiv dağılımı şu şekildedir: - **.git/lfs/**: 196.1 MB (%56,8) - **.git/objects/**: 102.2 MB (%29,6) - **.git/logs/**: 0.6 MB (%0,2) - **Kaynak kod ve dokümanlar**: 46.2 MB (%13,4) Paketin **%86,6'sını** tek başına `.git` dizini oluşturmaktadır. ## Geliştiriciler İçin Pratik Çıkarımlar Git nesne deposu, projenin sadece anlık açık dosyalarını değil, ilk günden beri biriken tüm geçmişini barındırır: - Sonraki commit'lerde silindiği sanılan gizli API anahtarları, - Henüz duyurulmamış ürün planlarını ele veren yerel branch adları, - `.git/config` dosyasındaki dahili sunucu adları ve repo yolları. Yazılım geliştiriciler, kapalı kaynaklı yapay zeka ajanlarını izole ortamlarda çalıştırmalı, giden ağ trafiğini (egress) denetlemeli ve açık kaynak kodlu ajan alternatiflerini önceliklendirmelidir. [Orijinal kaynağa buradan ulaşabilirsiniz.](https://tokenstead.ai/guides/zcode-silent-git-history-upload) --- Bu konuyu derinlemesine öğrenmek isterseniz: [AI Tedarik Zinciri Güvenliği](https://edumints.com/kesfet/ai-altyapi-guvenligi-model-supply-chain-ve-artifac-ja5f) modülüne göz atın. --- **Kaynak:** [Hacker News](https://tokenstead.ai/guides/zcode-silent-git-history-upload) **Yayıncı:** [Edumints Blog](https://blog.edumints.com) · Alıntılarken bu URL'ye bağlantı verin: https://blog.edumints.com/zcode-ve-sessiz-git-gecmisi-sizintisi-kapali-kaynakli-kodlam-22ueudwq