如果你是这几天被ZCode"静默上传整仓代码"刷屏的GLM订阅用户，大概率已经做完了该做的动作：仓库密钥自查、快照目录清理、该卸载的卸载。剩下的问题只有一个——开源了，审计结论也出了，现在到底敢不敢回来用？
9月21日傍晚，智谱把ZCode正式推上了GitHub。到发稿为止不到一天，技术社区已经把这份开源交卷翻了个底朝天。结论比"诚意"或"公关"两个词都复杂：能核实的确实有五件事，但对不平的账也还剩四笔。这篇帮你把两边的清单一次列清。财新
先把三天时间线钉住，官方这次到底交了什么
这条线走得很密：
9月18日凌晨，独立开发者ferstar发取证帖：清理一台256GB的MacBook时，发现`.zcode`目录吃掉700多MB，顺着目录往下挖找到一个313MB的加密包——某个约10GB商业项目的近乎全部核心资产，因为上传连续失败564次才留在本地。快照里`.git`目录占了86.6%，已删的提交历史、LFS缓存、部分全局配置都在。加密所用的RSA公钥由服务端下发、私钥只存在云端，用户连自己硬盘上的这个包都打不开。当天智谱在用户群致歉，归因"代码库索引"功能，承诺开源+第三方审查+全量用户补偿一次周额度重置。知乎哔哩哔哩
9月19日，v3.14.0推送，移除Repo Wiki入口，同时承诺开源代码库、引入第三方审查、全量用户补偿一次周额度重置。当晚，ZCode企业用户太原承明科技正式向智谱发出法律函件，提出12项整改与问责要求，限期10月10日前书面答复。知乎
9月20日晚，智谱MaaS平台官宣近期将上线"数据内容不留存"：用户输入输出平台不做静态存储，用完即焚，任何用户均可在控制台申请开通。知乎
9月21日：开源官宣，同时公布两份第三方审计结论——信通院确认涉事阿里云OSS存储桶处于"云端零数据"状态；绿盟确认桶内全部数据对象及存储桶本身已删除，v3.14.0客户端已移除Repo Wiki入口、未发现可触发本地仓库快照或文件外发的功能路径。智谱再次致歉：“请大家持续监督。”微博
资本市场的反应更直接：9月21日早盘智谱（2513.HK）股价盘中一度跌超5%，截至10:13收窄至4.23%，市值约3642亿港元。财经杂志
社区首夜能核实的五件事
开源挂出来不到24小时，知乎、B站、微博的技术流已经做了第一轮交叉验证。这五件事是目前"对得上"的：
代码是真的，不是空壳。 这是个TypeScript monorepo，社区两种统计口径——约28万行（桌面端11个包）和约84万行（含后端服务、共享UI的全仓库），口径不同但量级摆在那。B站有UP主扒完给出"三个别家没有的设计"：模型参数用自定义表达式语言管理、工作流做成可静态分析的TypeScript程序、给AI读的上下文包由架构检查器生成。就算你认定这是公关动作，这份harness工程本身被评价为"在搭Agent的人值得看"。知乎哔哩哔哩
上传链路在客户端层面确实被切了。 绿盟审计确认v3.14.0移除了Repo Wiki入口、无快照外发路径；GitHub开源版行为可查，等于"以后"这一头第一次有了可验证的锚点。
补偿在兑现。 全体用户一次周额度重置已经落地；有PRO套餐用户反馈夜间免费时段延长到了国庆结束、自己一个月能"蹬"250亿token——这也是不少人还在观望而不是立刻跳车的原因之一。知乎
旧版本包被清空了。 官网旧二进制下载链接全部下架。这一点社区评价两极：有人说这是切断风险面，也有人说"毁尸灭迹"——旧包里到底有什么，从此只能靠取证者和审计方说了算。知乎
审计至少给出了具名结论。 信通院+绿盟两家署名，"云端零数据"这个此前完全无法自证的核心争议，第一次有了第三方说法。注意：目前公开的是结论摘要，完整报告还没有全文流出。
但对不平的，还有四笔账
第一笔：开源的姿势。 仓库只有2个commit、零Git历史，issue、discussion全关，PR锁定，只留了commit评论区——结果这里变成了"大型玩梗现场"。有开发者拿同行对比：DeepseekHarness同一个赛道，18059个commit，第一个commit可追溯到6月10日。这不是代码问题，是治理问题：Git历史被抹掉，意味着"哪个版本在哪天改了什么"这个最基础的监督手段，恰恰在这款以"监督"名义开源的产品上不存在。微博知乎
第二笔：源码开了，权益没开。 源码注释里一行"开源版不享受额度活动权益"被社区放大围观——你审计归我审计，套餐权益还是锁在官方客户端里。加上有AI晚报指出"开源版与线上版仍存在差异"，当前"可审计"的是开源版，你电脑上装的却是不完全对应的那个版本，这个缝隙目前没有说明。知乎哔哩哔哩
第三笔："之前传的去哪了"依然无法外部验证。 风波期间社区整理过五问：修复diff、可验证的销毁证据、用户可自查的上传记录、已上传数据的书面删除确认、第三方审计报告全文。现在审计报告只到摘要、其余四项仍未落地。“云端零数据"是审计机构去桶里看过的结果，但历史上到底传了什么、有没有被访问过，私钥在服务端，用户侧依然只能靠信。43GB火绒监控截图那个个例（截图发出两三分钟被群管撤回，动作本身又成了新争议）没有任何一方给出解释。承明科技的12项质疑里，跨境传输一项智谱方称"指控不实”，但书面答复要等到10月10日。知乎财新
第四笔："数据不留存"管的是以后。 官宣用词是"近期将上线"，机制本身三个限定：用户到控制台申请开通、默认不留；Batch API、File API不覆盖；涉嫌违规的按法规可留存30天以上。框架在国内MaaS里确实头一份，但它回答不了第三笔账的问题。知乎
不同状态的人，现在怎么看
已经在用ZCode的：v3.14.0之后客户端链路已被切断，继续用有依据；但敏感仓库（未发布商业项目、含密钥的、企业内网的）先别放进任何云端Agent的可达范围——这次事件真正的教训不是"某家不可信"，而是"默认开启+静默+界面开关失效"这套组合在闭源工具上可以是出厂状态。
观望等回来的：别看道歉声明，盯四个信号——commit数和Git历史补不补、issue开不开、审计完整报告出不出、开源版与套餐版权益是否打通。四个里动两个，性质就从"公开披露"变回"开源"了。
已决定跳车的：同一天月之暗面刚发KimiCode桌面端，社区自组的DeepSeek+harness组合已有拿得出实测数据的用户样本（注意都是单样本，自己的活儿自己跑分）。另外，智谱已与中国移动达成GW级国产算力战略合作、算力中心即将投产，电话会里说的"10月入口变化"大概率就在运营商这个方向上——多入口比价，反而可能是这轮风波给订阅用户带来的少数实际红利。哔哩哔哩微博
至于创始人唐杰同日在小红书亲自投诉造谣网友引发的另一轮讨论，两派吵的是情绪；对做决策的人来说，它不改变上面任何一个信号。知乎
一句话收尾
开源是真的，工程质量也是真的；但"可审计"目前只覆盖了"以后"，覆盖不了"之前"，而且开源版和套餐版之间还隔着一层权益玻璃。接下来两周就三个日期值得盯：10月10日（承明函件书面答复）、"数据不留存"实际上线日、审计报告全文公开。这三个兑现两个以上，信任这条账才算开始还。
