Inside ZCode: Git 히스토리, 조용히 클라우드에 업로드하기
(blog.ferstar.org)
Zhipu의 AI 코딩 앱 ZCode가 사용자의 허가 없이 Git 히스토리와 소스 코드를 암호화하여 클라우드로 자동 업로드하며, 서버만 복호화할 수 있는 구조를 가졌다는 사실이 밝혀져 보안 위협이 제기되고 있습니다.
이 글의 핵심 포인트
- 1ZCode 앱이 사용자의 워크스페이스를 패키징하여 Aliyun OSS로 자동 업로드하는 프로세스 확인
- 2암호화에 사용된 RSA 개인키가 서버에만 존재하여 사용자는 업로드된 데이터를 복호화할 수 없음
- 3업로드된 데이터의 약 86.6%가 .git 디렉토리(히스토리, LFS, 로그 등)로 구성됨
- 4데이터 전송 과정에서 서버로부터 동적으로 전달받은 공개키를 사용하여 AES-256-CTR 암호화 수행
- 5313MB 규모의 암호화된 파일이 로컬에 남아있었으며, 이는 수백 번의 업로드 실패 기록을 포함함
이 글에 대한 공공지능 분석
왜 중요한가?
AI 코딩 도구가 개발자의 생산성을 높이는 동시에, 기업의 핵심 자산인 소스 코드를 사용자 모르게 수집할 수 있는 심각한 보안 취약점을 드러냈기 때문입니다.
어떤 배경과 맥락이 있나?
최근 Zhipu와 같은 AI 에이전트 기반 개발 도구가 급증하면서, 코드 자동 완성 및 컨텍스트 이해를 위해 로컬 데이터를 클라우드로 전송하는 기술적 필요성과 개인정보 및 보안 이슈가 강력하게 충돌하고 있습니다.
업계에 어떤 영향을 주나?
AI 개발 도구의 신뢰성 검증이 필수적인 요소로 부상할 것이며, 데이터 수집 범위와 암호화 키 관리 방식에 대한 투명한 공개 요구가 소프트웨어 공급망 보안의 핵심 과제가 될 것입니다.
한국 시장에 어떤 시사점이 있나?
보안이 생명인 한국의 IT 기업 및 스타트업들은 글로벌 AI 도구 도입 시 데이터 유출 경로를 면밀히 검토해야 하며, 데이터 주권을 지키기 위해 로컬 실행형 모델이나 검증된 오픈소스 도구 도입을 고려해야 합니다.
이 글에 대한 큐레이터 의견
이번 발견은 AI 코딩 도구가 '편의성'이라는 명목 아래 얼마나 위험한 '데이터 탈취'를 수행할 수 있는지 보여주는 경고장입니다. ZCode의 방식은 서버가 복호화 권한을 독점함으로써 사용자의 통제권을 완전히 박탈했다는 점에서, 단순한 백업 기능을 넘어선 데이터 수집 행위로 해석될 여지가 다분합니다.
물론, AI 모델의 성능 향상을 위해 더 많은 학습 데이터와 컨텍스트가 필요하다는 기술적 요구사항과, 이를 위해 클라우드 기반의 연산이 필수적이라는 트레이드오프는 존재합니다. 하지만 이 과정이 사용자에게 투명하게 공개되지 않고, 사용자가 복호화조차 할 수 없는 구조로 설계되었다는 점은 기술적 정당성을 얻기 어렵습니다.
스타트업 창업자들은 AI 도구 도입 시 생산성 향상이라는 단기적 이득과 소스 코드 유출이라는 장기적 리스크를 냉정하게 비교해야 합니다. 단순히 기능이 좋다는 이유로 검증되지 않은 도구를 도입하기보다는, 데이터 흐름을 제어할 수 있는 정책과 보안 가이드라인을 먼저 구축하는 것이 지속 가능한 성장을 위한 핵심 전략입니다.
관련 뉴스
댓글
아직 댓글이 없습니다. 첫 댓글을 남겨보세요.