ZCode 내부 분석: 사용자 모르게 Git 이력을 클라우드에 업로드

(news.hada.io)

GeekNews2026년 9월 18일AI 코딩

ZCode가 사용자 고지 없이 Git 전체 이력과 작업 공간 데이터를 클라우드로 전송하는 구조가 역공학을 통해 밝혀졌으며, 이는 AI 코딩 도구의 데이터 수집 범위와 보안 신뢰성에 대한 심각한 경고를 던집니다.

이 글의 핵심 포인트

1ZCode가 별도 고지 없이 Git 이력과 작업 공간 데이터를 압축하여 Aliyun OSS로 전송함이 역공학으로 확인됨
2암호화(AES-256-CTR)가 적용되나 복호화 키를 서버가 보유하고 있어 운영자의 코드 접근을 차단할 수 없음
3업로드 범위에는 현재 코드뿐만 아니라 과거 커밋, 삭제된 API 키, 민감한 설정 등 .git 전체 이력이 포함됨
4UI 상의 '모델 학습 허용' 설정은 데이터 업로드 자체를 중단시키는 기능을 수행하지 않음
5사용자는 OS 수준의 파일 시스템 잠금(chflags, chattr)을 통해서만 강제적인 업로드 중단을 시도할 수 있음

이 글에 대한 공공지능 분석

왜 중요한가?

AI 코딩 도구가 개발자의 핵심 자산인 소스 코드와 Git 이력을 사용자 모르게 수집할 수 있다는 보안 취약성을 드러냈기 때문입니다. 이는 단순한 기능 동작을 넘어, 기업의 지식재산권(IP)이 의도치 않게 외부로 유출될 수 있는 중대한 보안 사고로 이어질 수 있습니다.

어떤 배경과 맥락이 있나?

최근 LLM 기반 코딩 에이전트들은 더 정확한 코드 생성을 위해 저장소 전체의 문맥(Context)을 파악하려는 시도를 하고 있습니다. 이 과정에서 데이터 수집의 범위와 사용자 프라이버시 보호 사이의 기술적·윤리적 갈등이 심화되고 있는 상황입니다.

업계에 어떤 영향을 주나?

AI 개발 도구 제조사들은 데이터 수집의 투명성을 확보해야 하는 강력한 압박을 받게 될 것이며, 이는 향후 엔터프라이즈급 AI 도구 시장의 진입 장벽(Trust barrier)으로 작용할 것입니다. 사용자가 제어할 수 없는 백그라운드 데이터 전송은 글로벌 소프트웨어 시장에서 신뢰를 잃는 치명적인 요인이 됩니다.

한국 시장에 어떤 시사점이 있나?

보안과 IP 보호에 민감한 한국의 IT 기업 및 스타트업들은 AI 도구 도입 시 단순한 기능 비교를 넘어 데이터 처리 방침을 면밀히 검토해야 합니다. 또한, 오픈소스나 글로벌 도구의 백그라운드 동작을 기술적으로 검증할 수 있는 보안 역량이 기업의 핵심 자산 보호를 위해 필수적입니다.

이 글에 대한 큐레이터 의견

AI 코딩 에이전트의 성능 향상을 위해 저장소 전체를 인덱싱하고 문맥을 파기하는 기술적 시도는 불가피한 측면이 있습니다. 개발자 입장에서는 더 정확한 코드 추천을 위해 어느 정도의 데이터 공유를 감수할 수 있지만, ZCode의 사례처럼 '중단할 수 없는' 방식과 '서버가 복호화 가능한' 구조는 기술적 편의를 넘어선 신뢰의 파괴입니다.

스타트업 창업자들은 AI 도구 도입 시 '성능'과 '보안' 사이의 트레이드오프를 명확히 인지해야 합니다. 만약 자사의 핵심 알고리즘이 포함된 코드를 다룬다면, 편리한 AI 도구가 자칫 자산 유출의 통로가 될 수 있음을 경계해야 합니다. 반면, 데이터 수집을 통한 모델 고도화가 서비스 경쟁력인 AI 스타트업들은, 투명한 고지와 사용자 제어권을 제공함으로써 글로벌 표준에 부합하는 신뢰 구축을 최우선 과제로 삼아야 합니다.

원문 보기 →