Un assistant de code a envoyé 313 Mo d’historique Git chez son éditeur

Un assistant de code lit vos fichiers, c’est son métier. Les envoyer ailleurs sans le dire en est un autre. Le 18 septembre 2026, un développeur qui signe ferstar a publié la rétro-ingénierie de ZCode, l’outil de codage de l’éditeur chinois Z.ai, et les chiffres ont fait le tour des forums.

42 411 fichiers dans une archive de 313 Mo

La fonction d’indexation du dépôt construisait, sur l’installation analysée, une archive chiffrée de 313 Mo rassemblant 42 411 fichiers, dont le répertoire .git à lui seul représentait 86,6 % de la charge utile. L’analyse relève 564 tentatives d’envoi pour un seul instantané.

La destination était un stockage objet chez un hébergeur cloud, atteint avec des identifiants embarqués dans l’outil. Détail qui change tout : la clé RSA privée permettant de déchiffrer l’archive restait du côté de l’éditeur. L’utilisateur ne pouvait donc ni relire ni effacer ce qui était parti de sa machine.

(Regardez la taille de votre dossier .git avant de crier au scandale sur les 313 Mo : chez moi aussi, l’historique pèse plus lourd que le code lui-même !)

Ce que contient vraiment un historique Git

C’est le point que le grand public sous-estime. Un .git ne contient pas l’état actuel du projet, il contient tous les états antérieurs. La clé d’API supprimée en catastrophe il y a 8 mois, le fichier de configuration commité par erreur un dimanche soir, le nom et le courriel de chaque personne ayant contribué : tout cela reste dans l’historique, même effacé de la dernière version.

La réponse de l’éditeur

• Des excuses publiques et le retrait de la fonction incriminée.
• Deux audits externes commandés à des organismes tiers, et un rapport de sécurité promis.
• L’ouverture du code de ZCode sur GitHub, pour que la communauté vérifie.
• L’affirmation que les données envoyées ont été supprimées et n’ont jamais servi à l’entraînement.

Pourquoi cette réponse ne clôt pas le dossier

Ouvrir le code aujourd’hui ne dit rien de ce qui tournait hier. Or ferstar relève que l’historique des commits a été effacé et que le code montrant le mécanisme d’envoi a disparu du dépôt. Autrement dit, la vérification indépendante du comportement passé est devenue impossible, au moment même où on invitait la communauté à vérifier.

Quant à la suppression des données et à l’absence d’entraînement, elles reposent entièrement sur la parole de l’entreprise : par construction, personne d’extérieur ne peut prouver qu’une archive a été effacée d’un stockage qu’il ne voit pas. Les audits annoncés, eux, sont commandés et payés par la partie mise en cause, ce qui est la norme du secteur et n’en fait pas pour autant une contre-expertise.

En bref

• ZCode envoyait l’espace de travail complet, historique Git compris, vers un stockage cloud de l’éditeur.
• 313 Mo et 42 411 fichiers sur l’installation analysée, avec 564 tentatives d’envoi.
• L’éditeur s’excuse, retire la fonction, commande des audits et ouvre le code.
• L’historique des commits ayant été effacé, le comportement passé n’est plus vérifiable de l’extérieur.

Sources : analyse de ferstar du 18 septembre 2026, The Register et Tom’s Hardware, 22 septembre 2026.

Le Bien Heureux · Redaction Capibara · Mercredi 23 septembre 2026