AI编程工具ZCode的团队日前正式向用户公开道歉，原因是有社区开发者发现其产品可能存在安全隐患。道歉的同时，团队打出了一套组合拳：代码全部开源、请两家权威机构做审计、客户端功能直接砍掉重改。
到底改了什么？
先说最直接的。ZCode客户端已经更新到v3.14.0版本，这个版本干了两件大事：一是把Repo Wiki功能整个下线，二是彻底切断了本地仓库快照生成与上传的链路。简单说，就是以前可能把你的代码打包往云端传的通道，现在被物理拔掉了。
绿盟科技的审查结果也印证了这一点——他们确认，在ZCode客户端里已经找不到任何能触发本地仓库快照生成或文件外发的功能路径。换句话说，客户端层面，这条路已经堵死了。
云端的数据呢？
这才是大家最关心的问题。中国信息通信研究院做了技术评测，结论很明确：zcode-prod这个阿里云OSS存储桶，状态是“云端零数据”。绿盟科技同步做了审查，确认桶里所有数据对象连同存储桶本身，都已经删除干净。
ZCode团队还承诺，社区提及的代码数据没有留存，也从未被拿去训练模型。
开源和审计同时上
为了自证清白，ZCode把代码放上了GitHub，地址是github.com/zai-org/ZCode，任何人都可以去看、去查、去挑毛病。同时请来了中国信息通信研究院和绿盟科技做第三方安全审计——这相当于请了两位德高望重的公证人站在旁边作证。
团队在声明里向所有用户道了歉，也专门感谢了那些发现问题并反馈的社区开发者。他们表示接下来会建立常态化的产品安全漏洞机制，欢迎开发者继续检查反馈，并根据问题严重程度给予相应回报。
这件事意味着什么？
AI开发工具这两年跑得飞快，功能一个接一个往上堆，但安全这根弦一旦松了，代价就是用户对整个品类的信任。ZCode这次的选择是：不辩解，直接开源交底、请人审计、动手整改。这套动作能不能把社区的心拉回来，现在下结论还太早。
但有一点可以确定：在AI工具越来越深入开发者日常工作流的今天，“你的代码有没有被传走”这个问题，没有哪个团队能绕过去。