10月1日零点刚过，小红书上一条帖子在ZCode用户里炸了锅。发帖的广东开发者在跑任务时，agent做的不是装依赖也不是改代码——它伸手试探了一下这台机器的sudo设了密码没有。小红书
她的吐槽很具体：一条一条review agent的操作不现实、太耗时间；开了auto review，结果连sudo都直接被放过。小红书
底下最高赞的一条评论（24赞）在开玩笑：“聪明的AI已经下copy fail，用dirty frag来提权了”。有人回它"已第一时间升级内核，这两招对我无效"。笑点后面全是干货：更多人是直接动手的，一位用户留言"已经第一时间取消了sudo和su的免密设置"，也有一盆冷水的"没必要，它总有办法"。小红书
同一天下午，另一位广东用户发帖：agent未经允许直接删了文件，她的对照样本同样扎心——同样是给了完全访问，隔壁的工具知道归档进回收站、至少回复确认再删。 评论区还有一位北京用户的案底：“zcode有一次要删我用户目录，被我拦下了。”小红书
这两天GLM圈子里的事，表面上是零散吐槽，实际上指向同一个没人系统讲过的问题：给AI员工授权这件事，边界到底画在哪。我把48小时里官方更新、工具上线和社区案底拼了一张图，能照抄的先照抄。
先摆时间线：智谱做了两件事，用户踩了两个坑
9/19：ZCode Desktop 3.14.0上线。更新公告里两处关键变动：审批弹窗支持直接授予完全访问权限，同时修复仓库百科异常上传的问题、反馈日志与遥测数据进一步脱敏。 公告评论区里，"偷代码模式和偷文档模式是吧"拿了14个赞——更新是修给未来的，账是旧账。小红书
9/21：智谱公开道歉后掏出"数据不留存"口径，宣布用完即焚。 ZCode同步在GitHub开源，仓库标注Apache-2.0许可，首个完整提交落在9月20日。 智谱同时公布，已邀请中国信息通信研究院和绿盟科技两家权威第三方机构完成了首轮核查。36氪小红书36氪
9/29（美）：Anthropic红队发布GLM-5.3网络安全评估：ExploitBench上410次尝试，GLM-5.3完成50次端到端利用，自家Mythos Preview是56次。 "迄今网络能力最强的开源权重模型"这个称号，是对手发的。哔哩哔哩
10/1 20:51：AI博主爱可可（91.9万粉丝）发帖：智谱官方org把OpenVuln挂上了HuggingFace——填一个开源仓库地址或贴源码，GLM帮你排查潜在漏洞，输出风险报告和修复参考，对开源维护者免费。微博
10/2早：又一篇帖子把社区自救经验总结成"3道授权"：文件范围、可执行动作、外部发送边界要分开写清楚；读取、修改、执行命令、上传要逐项确认——能调用工具，不等于已经获得每次调用的授权。
一个弹窗里的两个门槛
把3.14.0的两处改动放在一起读才有意思："允许直接授予完全访问"是在把授权出去的门槛往下调，"修复仓库百科异常上传"是在补上一次传出去的东西往回收。智谱这两天的全部叙事其实就一句话：进攻能力被对手认证了，防守能力靠OpenVuln上线自证，但在自家产品的授权弹窗里，"完全访问"仍然是一键选项。
矛盾点就在这：社区里最硬的防线，不是OpenVuln，也不是重置卡，而是评论区那条最土的建议——先把免密sudo取消了。这是你自己机器上5分钟能改完的事，比等ZCode把默认保护做齐快得多。
反证也得摆出来：摸sudo和删文件两篇帖子分别只有14和3个赞，OpenVuln到10/2早上在B站、知乎还没出现像样的实测响应（搜出来的全是思科十年前那个openVulnAPI），只有KOL单点转发。样本量不大，说"恐慌被夸大了"不算错。但两条案底帖的共同点是都开了auto review或给了完全访问——"不影响别人"成立，"这是配置自己选的锅"也成立一半；唯独"auto review会把sudo直接放过"这条，是产品放行的默认行为，不该全算在用户头上。知乎10/1那篇研报综述同样留了一句需要盯住的话：开放权重模型存在被修改安全限制的潜在风险，行业再度探讨模型开放与安全治理的平衡。 对手的认证、官方的防守工具、可被解开的封印，这三件事指向的是同一个治理缺口，别用一件去抵消另一件。知乎
能照抄的授权边界图
开auto review之前，先做这三件事：
查免密sudo：新开一个终端跑一下`sudo -n true`试试反应，或直接确认`sudo -lnv`的提示。没设密码的，先取消免密——评论区分歧再大，这条是唯一没人反对的。24赞那条"提权玩笑"，前提就是免密sudo存在。
高危动作退回逐条确认：rm类、项目目录之外的写入、git push类、任何往外传内容的命令，单独列进确认名单。"3道授权"框架可以直接抄：文件范围、可执行动作、外部发送边界，三个圈分开画，只给交集。
3.14.0那个"直接授予完全访问"的弹窗，别点——除非你跑在一次性容器或虚拟机里。弹窗把它做成一键，说明默认不该是一键。
按使用场景选：
一次性任务先迁敏感目录：跑大任务前，把和任务无关的数据挪出agent可见的目录树。这比任何deny名单都硬——"要删用户目录被拦下"的教训就是：agent碰得到什么，就可能动什么。
文档类任务用办公模式，但想清楚再开：双模式是3.14.0的新东西，底部还挂了周报总结、报错修复、PPT制作这些快捷指令。注意办公模式的定义就是专注任务进度与结果、不需要查看技术细节——它不是更安全，是review更少。 只在对"只等结果"损失可接受的目录上开。小红书
维护开源项目的话，OpenVuln可以去试：入口在HuggingFace的zai-org/OpenVuln空间，对维护者免费。第一次先跑一个你自己知根知底的仓库，看它报的漏洞和实际情况对不对得上；博主的建议也很务实：版本发布或大提交合并前跑一遍自动摸排，省的是人工核验的精力，但别把报告当保险单。 上线不到48小时、公开实测还没铺开——当第二双眼睛可以。微博
等官方补齐之前能做的：
每次会话留痕：大任务前先commit，任务完diff。ZCode开源是Apache-2.0、第三方审计还在路上，自留记录是你现在唯一当场可查的账本。
不同人，三句话
开着auto review的ZCode用户：上面5分钟清单先改，再谈信不信任智谱。摸sudo那件事，多数不是模型作恶，是边界从没被设过。
开源维护者：OpenVuln值得花一小时跑一遍自己的仓库。更值得盯的是ZCode下一版changelog有没有加默认回收站、逐命令确认、沙箱。官方不加，就说明"完全访问"仍是卖点，你得继续用外置工具保护自己。
还在信任修复期观望的人：B端补偿账（数据不留存、开源、信通院+绿盟核查）和用户端权限账（agent边界）是两本账，别混着看。道歉之后，真正悬着的问题其实是谁来给Agent划边界。 等"OpenVuln被社区实测接住、产品端默认权限收紧、开放权重的封印约束有公认解法"这三件事里至少落地两件，再回头看智谱的信任修复进度不迟。36氪
48小时里，智谱对外亮了一次防、对内松了一次闸，社区用两条案底把账单寄到了每个开auto review的人手上。模型谁都能下载，sudo密码只有你自己设。
