ZCode가 깃 기록을 통째로 올렸다 — AI 코딩 도구는 내 코드를 어디까지 보내는가

1. 핵심 요약

용어를 먼저 정합니다. Z.ai는 중국 베이징의 AI 개발사 지푸(智谱, Zhipu)의 해외 브랜드이고, GLM 모델 시리즈를 만듭니다. ZCode는 이 회사가 2026년 6월에 발표한 무료 데스크톱 코딩 에이전트 앱으로 macOS·Windows·Linux에서 돌아갑니다 [8]. 스냅샷은 이 글에서 앱이 작업 공간(프로젝트 폴더) 전체를 하나의 압축 파일로 묶은 것을 뜻합니다. 봉투 암호화는 파일은 일회용 대칭 키로 잠그고, 그 대칭 키를 다시 공개 키로 잠가 함께 보내는 방식입니다. 공개 키의 짝인 개인 키를 가진 쪽만 풀 수 있습니다.

이 글의 수치는 조사 글 [1]과 GitHub 감사 저장소 [4][5]에 적힌 값 그대로이며, 개발사 성명은 중국 매체가 옮긴 전문 [2][3]을 근거로 합니다. 자체 실측은 없습니다.

2. 무슨 일이 있었나 — 6월 출시에서 9월 18일까지

맥락 하나를 더 둡니다. 코딩 에이전트의 숨은 동작이 뒤늦게 드러난 것은 올해 두 번째입니다. 6월 30일에는 Claude Code 2.1.196 버전을 분석한 글이 시스템 프롬프트의 날짜 문장 안에 눈에 안 보이는 아포스트로피 변형으로 사용자의 시간대와 프록시 호스트 정보를 실어 보내는 코드를 찾아냈습니다 [10]. Anthropic 엔지니어는 "무단 재판매와 증류 방지를 위한 3월의 실험"이라고 답했고 7월 1일 배포판에서 제거됐습니다(2차 보도 기준 [11]). 두 사건의 공통점은 문서에 없는 동작이 바이너리를 역공학한 뒤에야 드러났다는 점입니다. 코딩 에이전트에서 실제로 터진 사고와 통하지 않는 방어는 코딩 에이전트 보안 2026에 모아 두었습니다.

3. 조사 글이 확인한 것 — 흐름, 내용물, 스위치, 키

조사자는 ~/.zcode 폴더가 700MB를 넘는 것을 보고 시작했습니다. v2/checkpoints/ 안에 313MB짜리 .enc 파일과 상태 파일이 있었습니다. 상태 파일에는 상업 프로젝트 경로, 작업 공간 345,549,173바이트, 암호화 후 313,070,842바이트, 종류 baseline(전체 스냅샷)이 적혀 있었고, 실패 횟수는 564였습니다 [1]. 업로드가 564번 실패해 pending/에 남아 있던 것이 발견의 계기였습니다. 로그에 업로드 주소가 없어 조사자는 앱 패키지(app.asar)를 풀어 흐름을 복원했습니다.

업로드 흐름

스냅샷에 무엇이 들었나

암호문은 열 수 없지만, 묶을 때 만든 파일 목록(manifest)은 평문으로 남아 있었습니다. 42,411개 파일의 구성입니다 [1].

전체 스냅샷 크기 중 .git 디렉터리가 86.6%입니다. 이것이 "코드를 보낸다"와 다른 이유는 현재 작업 트리에 없는 것이 들어가기 때문입니다. 나중 커밋에서 지운 API 키·토큰 같은 시크릿과 설정, 공개하지 않은 브랜치 이름, .git/config의 내부 GitLab 호스트 이름과 경로가 그것입니다. 여기에 settings.behavior.json 같은 전역 설정 파일의 해시를 담은 추가 목록이 모든 스냅샷에 함께 묶였습니다 [1]. .gitignore는 도움이 되지 않습니다. 무시되는 파일이 아니라 .git 자체가 대상이기 때문입니다.

스위치 두 개가 실제로 하는 일

조사 글에 따르면 백그라운드 캡처·업로드 구성 요소(코드에서는 사이드카라고 부릅니다)는 앱이 시작할 때 조건 없이 생성됩니다. 사용자 설정을 확인하는 분기가 없고, 유일한 조건은 유효한 로그인 토큰(JWT)을 받을 수 있는지였습니다 [1]. 캡처는 프롬프트를 보내기 직전마다(captureBeforePrompt)와 repo-wiki-update로 표시된 작업이 끝날 때 일어났고, 한 세션에서 최대 62번 기록됐습니다.

4. 개발사의 답변과 조사 결과가 어긋나는 자리

Z.ai의 사과문은 9월 18일 공식 사용자 그룹에 올라왔고, 신랑과기·텐센트뉴스 등이 전문을 옮겼습니다 [2][3]. 요지는 다섯 가지입니다.

• 문제는 "저장소 색인" 기능에서 비롯됐다는 것입니다. 이 기능은 세션 체크포인트 복구, 과거 버전 되돌리기, Repo Wiki(저장소 지식 페이지)를 위해 로컬에서 색인을 만듭니다.
• Repo Wiki 페이지를 생성할 때 저장소 데이터 업로드가 일어날 수 있다는 것입니다.
• 위키가 클라우드에서 생성된 뒤 올라간 데이터는 즉시 파기되고 저장되지 않는다는 것입니다.
• 출시 초기에 기본 켜짐이어서 일부 사용자가 영향을 받았다는 것입니다.
• 이미 수정했고, 코드를 공개하며 제3자 평가를 받고 진행 상황을 공개하겠다는 것입니다.

아래는 성명의 각 주장을 조사·감사 결과 옆에 둔 것입니다.

공정하게 적어 둘 것도 있습니다. 성명은 사건 당일 나왔고, 원인 기능을 특정했으며, 코드 공개와 제3자 검토라는 검증 가능한 약속을 했습니다. 이 약속이 지켜지는지가 이 사건의 다음 확인 지점입니다. 다만 사과문이 사용자 그룹에만 올라가 이 글은 중국 매체가 옮긴 전문에 의존합니다. 영문 공식 게시물은 2026-09-19 기준 확인하지 못했습니다.

5. 독립 감사 두 건 — 확인된 것과 확인할 수 없는 것

조사 글은 설치 한 건의 기록입니다. 그래서 다른 기기에서 같은 동작이 재현되는지가 중요합니다. 9월 18일 이후 GitHub에 올라온 감사 저장소 중 증거 등급을 매기고 재현 스크립트를 붙인 두 건을 봤습니다.

두 감사가 같은 것은 캡처 범위(.git 포함), 암호화 방식, 목적지, 스위치가 업로드를 막지 않는다는 점입니다. 조사 글의 핵심 주장은 세 기기에서 일치합니다. 다른 것은 업로드가 실제로 완료됐는지입니다. 한 감사는 완료 기록을 찾았고, 다른 감사는 자기 기기에서는 판정할 수 없다고 적었습니다. 조사 글의 기기에서는 564번 실패한 채 대기 중이었습니다. 즉 "묶어서 올리려 한다"는 확정이고, "얼마나 올라갔는가"는 기기마다 다릅니다.

6. 다른 도구는 무엇을 보내는가 — 공식 문서 기준

Hacker News 토론에서는 "다른 도구도 마찬가지 아니냐"는 반응이 많았습니다 [9]. 그 질문에는 추측이 아니라 문서로 답해야 합니다. 아래는 각 도구의 공식 데이터 문서를 2026-09-19에 읽고 같은 네 가지를 적은 것입니다. 문서에서 확인하지 못한 항목은 "문서에 없음"으로 적었습니다. 문서에 적힌 것과 실제 동작이 같다는 보장은 없습니다. ZCode도 문서에는 스냅샷이 없었고, Claude Code의 6월 사건도 문서에 없던 동작이었습니다.

표를 읽는 법입니다. 모델에 코드 문맥을 주는 요청에서는 어느 도구든 코드가 나갑니다. 그것은 피할 수 없습니다. 차이는 세 가지입니다. 첫째, 범위. 다섯 도구는 "대화에 보낸 것"과 "커서 주변"을 말하고, ZCode의 스냅샷은 저장소 전체 역사였습니다. 둘째, 기본값. Copilot 개인 플랜은 4월부터 학습 사용이 기본 켜짐이고, Claude Code 소비자 플랜은 사용자 선택, 상업·기업 플랜은 다섯 도구 모두 학습 제외입니다. 셋째, 끄는 손잡이가 문서에 있는가. 이 글이 읽은 문서 중 끄는 방법이 없는 항목은 ZCode의 스냅샷과 Copilot의 참여 데이터뿐이며, 둘의 성격은 다릅니다. 후자는 사용량 지표이고 전자는 코드입니다.

7. 오늘 적용할 체크리스트

ZCode 사용자에게 먼저, 그다음 모든 코딩 에이전트 사용자에게 해당하는 항목입니다.

ZCode를 쓰고 있다면

• 무엇이 묶였는지 먼저 봅니다. ~/.zcode/v2/checkpoints/ 아래 상태 파일과 파일 목록(manifest)은 평문입니다. 어느 프로젝트가, 언제, 몇 번 캡처됐는지 여기서 읽을 수 있습니다. 자가 진단 스크립트를 공개한 저장소도 있습니다 [4][5].
• 업로드를 막으려면 폴더를 잠급니다. 조사자는 지우면 30분 안에 다시 묶이는 것을 확인했습니다. 조사자의 절차는 폴더를 지우고 다시 만든 뒤 잠그는 것입니다. macOS는 rm -rf ~/.zcode/v2/checkpoints && mkdir -p ~/.zcode/v2/checkpoints && chflags uchg ~/.zcode/v2/checkpoints, Linux는 마지막 명령만 sudo chattr +i ~/.zcode/v2/checkpoints입니다. 지우지 않고 잠그면 이미 대기 중인 암호화 파일이 남습니다. 체크포인트 되돌리기 기능은 동작하지 않게 되고, 채팅·자동완성·도구 실행은 그대로입니다 [1]. 이것은 조사자가 자기 기기에서 확인한 우회이며, 개발사가 수정했다는 판에서도 필요한지는 확인하지 못했습니다.
• 저장소 이력에 들어간 시크릿은 모두 재발급합니다. 스냅샷에는 지운 커밋의 내용이 들어갑니다. .git 이력에 한 번이라도 들어간 API 키·토큰·비밀번호는 이미 노출된 것으로 보고 재발급합니다. git log -p나 시크릿 스캐너로 이력을 훑습니다.
• 로그아웃하면 멈춥니다. 조사 글 기준으로 사이드카의 유일한 조건은 유효한 로그인 토큰입니다. 직접 키나 자체 호스팅 모델로 쓰는 구성이 문서에 있으니 [8], 그 구성에서도 로그인 없이 동작하는지 확인한 뒤 씁니다.

어떤 코딩 에이전트든

• 데이터 문서를 설치 전에 읽고, 없으면 그 자체를 신호로 봅니다. 6절의 네 칸(경로·학습 기본값·끄는 법·보관 기간)을 채울 수 없는 도구는 팀 코드에 붙이지 않습니다.
• 나가는 연결을 한 번은 직접 봅니다. 문서와 동작이 같다는 보장은 없습니다. lsof -i -P | grep <프로세스>나 방화벽 로그로 앱이 어디에 붙어 있는지 확인합니다. 모델 API 외의 저장소 도메인이 보이면 이유를 찾습니다.
• 불필요한 트래픽은 설정으로 끕니다. Claude Code는 CLAUDE_CODE_DISABLE_NONESSENTIAL_TRAFFIC=1입니다. Gemini CLI는 privacy.usageStatisticsEnabled: false입니다. Codex는 analytics 플래그입니다. Copilot 개인 플랜은 설정의 Privacy 절, Cursor는 Privacy Mode입니다. 팀이면 설정 파일에 넣어 배포합니다.
• 회사 코드는 상업·기업 플랜으로만 씁니다. 여섯 도구 모두 상업·기업 계약에서는 학습 사용을 제외합니다. Copilot은 유료 조직의 저장소라면 개인 플랜으로 열어도 학습에서 제외하지만, 개인 계정 소유의 비공개 저장소는 개인 플랜의 활성 세션 중 학습에 쓰일 수 있습니다 [14]. 회사 코드가 어느 계정 아래에 있는지가 보호 범위를 가릅니다.
• .gitignore가 막지 못하는 것을 압니다. 이번 사건의 86.6%는 .git이었습니다. 역사 속 비밀 값은 무시 목록이 아니라 재발급으로만 지워집니다.

8. 아직 결론이 아닌 것

• 자체 실측이 없습니다. 이 글은 조사 글 한 편, 감사 저장소 두 곳, 개발사 성명을 옮긴 보도, 각 도구의 공식 문서를 대조한 정리입니다. ZCode를 직접 설치해 재현하지 않았습니다.
• 서버 쪽은 아무도 확인하지 못했습니다. "즉시 파기"는 검증할 수 없고, 학습 사용·보관·접근도 마찬가지입니다. 개발사가 약속한 코드 공개와 제3자 검토가 이뤄지면 이 글을 개정합니다.
• 업로드 완료 여부는 기기마다 다릅니다. 한 감사는 완료 기록을 찾았고, 다른 감사는 판정 불가였으며, 조사 글의 기기는 564회 실패 상태였습니다. "얼마나 많은 사용자의 코드가 실제로 올라갔는가"는 알 수 없습니다.
• 수정 버전을 확인하지 못했습니다. 성명에 버전 번호가 없고, 감사 대상은 3.12.3입니다. 이후 판에서 사이드카가 어떻게 바뀌었는지는 코드 공개 전에는 알기 어렵습니다.
• 개발사 성명은 2차 전달입니다. 사용자 그룹에 올라온 글을 중국 매체가 옮겼습니다. 영문 공식 게시물은 확인하지 못했고, 매체 간 표현 차이가 있을 수 있습니다.
• ZCode 출시일이 자료마다 다릅니다. VentureBeat는 6월 12일 발표로 적었고, 다른 2차 자료는 7월 초 출시로 적었습니다. 이 글은 VentureBeat를 따랐습니다.
• Codex를 ChatGPT 플랜으로 쓸 때의 학습 정책은 확인하지 못했습니다. OpenAI 도움말 페이지가 자동 요청을 거부했습니다. API 키로 쓸 때의 정책(학습 미사용, 30일 남용 감시 로그)은 API 문서로 확인했지만, 그 문서는 Codex를 따로 언급하지 않습니다 [17].
• Gemini CLI의 개인 계정 정책도 같은 한계입니다. 개인용 Code Assist 정책 페이지가 2026-06-18자 서비스 종료 안내로 바뀌어 있어 현재 문구를 확인하지 못했습니다. 표에는 사용 통계 부분만 적었습니다.
• Copilot의 플랜 목록은 2026-03-25 블로그와 FAQ 기준(Free·Pro·Pro+)입니다. 그 뒤 추가된 개인 플랜이 있는지는 공식 문서에서 확인하지 못했습니다.
• Cursor의 코드베이스 색인 방식은 읽은 문서에 없었습니다. 청크·임베딩·경로 난독화 같은 세부는 이전 문서에 있었던 것으로 기억하지만 확인하지 못해 싣지 않았습니다.
• Hacker News에서 나온 다른 도구의 의혹은 싣지 않았습니다. 원문이나 문서로 확인되지 않은 댓글 단계의 주장입니다.
• 국내 보도는 확인하지 못했습니다. 2026-09-19 기준 한국어 매체·커뮤니티에서 이 사건을 다룬 글을 찾지 못했습니다.

9. 참고자료

모두 2026-09-19 확인했습니다. [1]·[4]·[5]·[10]은 독립 개발자의 조사 기록이고, [6]·[7]·[12]~[17]은 각 개발사의 공식 문서입니다. [2]·[3]·[8]·[9]·[11]은 2차 출처입니다.

편집 기준: 클라이언트에서 확인된 것과 서버 쪽 주장을 표마다 나눠 적었고, 개발사 성명은 2차 전달임을 밝혔습니다. 다른 도구의 항목은 공식 문서에 적힌 것만 옮기고 문서에 없는 것은 없다고 적었습니다.