引子：同一件事，两种读法
《智谱 ZCode “偷传代码”风波持续发酵》。这条新闻，技术圈读到的关键词是”偷传代码”：一个 313MB 的加密包，约 4.2 万个文件，其中 86.6% 是 .git 历史记录。
法务圈读到的关键词只有四个字：个人信息出境。
前者是”你的代码被拿走了”——还能谈。后者是”你在监管那里已经违规了”——没法谈。
这不是修辞。这两句话的义务对象都不一样：第一句的对手是用户，第二句的对手是监管机关。用户签了谅解书，也不消灭它依法应当承担的行政责任。
（把用词说准一点：企业是行政相对人，违反《数据安全法》《个人信息保护法》这类行政管理性质的法律规范，承担的是行政责任，主要形式是行政处罚；它不需要是什么“行政机关”，行政责任和“行政机关违法”是两回事。）
先把事实摆清楚
- 9 月 18 日，技术博主 ferstar 曝光：只要登录 ZCode 账号，后台就会把整个工作项目连同完整修改历史打包加密、上传云端。他发现的是 313MB 加密包、约 4.2 万个文件，其中 86.6% 是
.git历史 —— 意味着已经删除的密钥、配置和商业痕迹也被一并带走。上传机制绕过了密钥过滤和体积限制（.git目录的放行优先级更高）；加密用的 RSA 公钥由服务端动态下发、私钥仅存于云端，用户即使截获加密包也解不开，界面上也没有任何开关可以关掉它。 - 同日傍晚，智谱致歉，归因于”代码库索引”功能（Repo Wiki 生成页面时可能触发上传），承诺”云端生成后相关数据立即销毁”，并宣布将开源 ZCode、邀第三方评估、给全体用户额外一次周额度重置。
- 9 月 20 日，太原承明科技发函追责。独立取证后它指出：2026 年 8 月 28 日至 9 月 14 日，其6 个工作区被自动、批量上传，最大单包 391.94 MB，另有 1 个工作区上传失败 32 次仍滞留本地（证明”自动触发，不以同意为前提”）。所涉数据”并非仅代码片段，而是项目完整源代码、系统架构、版本控制历史（含已删除提交与 reflog）、数据库口令、接口密钥、云服务凭证与证书、员工及终端用户个人信息、未公开研发规划等完整归档文件”，远超《隐私政策》载明的”对话中提交的文本、文件”。更要命的一条：客户端 9 月 16 日已更新到 3.12.3，但在智谱 9 月 18 日公开致歉当日的凌晨，仍检测到上传行为 —— 由此质疑”已修复”的实际效果。（9 月 19 日 ZCode 发布 3.14.0 称”修复仓库百科异常上传”，ferstar 复核上传链路已移除、上传凭证接口返回 404。）
- 函件最关键的一击，是中英文协议自相矛盾：ZCode 客户端网络请求指向
zcode.z.ai/cdn-zcode.z.ai；英文版 Z.AI 隐私政策写明，平台缔约主体与个人数据控制者是 JINGSHENG HENGXING TECHNOLOGY PTE. LTD.（新加坡），”服务通常自新加坡提供””个人数据通常在新加坡处理”（智谱港交所招股书披露，该公司为其 2023 年 11 月在新加坡注册的间接全资子公司）；而中文版协议与隐私政策的服务方/数据处理者是北京智谱华章，且承诺”境内存储、不跨境传输或存储”。两边必有一边不实：要么披露有问题，要么履行有问题；若数据实际落到新加坡，出境义务随之触发。函件据此要求智谱说明实际处理主体、存储地点、是否跨境传输或境外存储，限 2026 年 10 月 10 日前书面答复（12 项要求），并声明保留索赔、向监管部门投诉举报、提起民事诉讼及向司法机关举报的权利。
一句话总结这封函：它要的不是道歉，是取证材料。
为什么”个人信息出境”比”偷代码”严重一个量级
第一，代码是资产，个人信息是权利。
资产丢了可以谈价：赔偿、和解、删库、加钱。权利的旁边站着一个不以当事人意志为转移的第三方——监管。”我们已经和用户和解了”这句话，在数据出境这件事上没有任何减刑效果。
第二，”重要数据”可以争，”个人信息出境”不用争。
条文里给”重要数据”留了一个口子：未被主管部门告知或公开发布为重要数据的，可以不作为重要数据申报。所以围绕它是一场认定战，有辩论空间。
而个人信息出境是一条算术题：累计向境外提供一般个人信息达到一定人数、或敏感个人信息达到一定人数，触发申报门槛；量级不同，对应的义务也不同（安全评估 / 标准合同或认证 / 免予）。它不看你主观上想没想过要出境，只看数字。
第三，门槛是自动触发的。
它不在意你是”功能设计失误”还是”蓄意窃取”——够线就是够线。这也是为什么技术层面的”我们修复了”，在法律层面几乎不构成抗辩：已经出境的数据不会因为你现在关上开关而回来。
为什么这个仓库天然就是一座”个人信息库”
这是外行和内行的分水岭。
在非技术视角里，源代码是”技术资产”，和”个人信息”隔得很远。但任何一个写过 git 的人都知道：每一次 commit，都带着作者的姓名、邮箱和时间戳。 也就是说，一个仓库的 .git 历史，本身就是一份带真实身份标识的档案——而且是一份按时间顺序、把人和工作绑在一起的档案。
再往外一层：配置文件、日志、测试数据里，往往还有真实用户的标识、IP、口令。而这次被带走的正是这些——函件里点名的”数据库口令、云服务凭证及员工个人信息”，恰恰是最不该离开本地的那一类。
所以同一件事，两种读法：
> 用户在争”代码是不是商业秘密”，懂行的人在数——里面有多少条个人信息，够不够出境的量级。
还有一点要挑明：加密不改变”数据已经出境”这个事实。 公钥加密保护的是内容的机密性，属于技术层面的保密措施；它不处理跨境传输的合规义务。数据到了境外，就是出境，跟你能不能解密没关系。
“麻烦”在哪：四个没有退路
- 量级门槛是算术题，触发即触发，不看动机；
- 单独同意不可事后补。《个人信息保护法》第三十九条明确要求：向境外提供个人信息，应当向个人告知境外接收方的名称、联系方式、处理目的、处理方式、信息种类及行使权利的方式和程序等，并取得个人的单独同意。数据已经出境了，事后补一份”同意”没有意义；更关键的是——公司也不能替员工同意，同意的权利在个人手里；而这次的授权范围从来只是”对话中提交的内容”，用户对”全量工作区 + 整个
.git历史”出境毫无知情，更谈不上单独同意； - 出境前的个人信息保护影响评估义务。这是一道程序义务：没做就是没做，跟”有没有泄露、有没有被滥用”是两件事。程序违法本身就能立起来；
- 三条线并行：行政责任（罚款、暂停业务、停业整顿、吊销执照，直接责任人罚款兼限业）、民事责任（个人信息保护相关诉讼，且存在由检察机关或消费者组织提起公益诉讼的入口）、以及情节严重时的刑事责任。
第 4 条里”公益诉讼”这个词最要命：一旦它出现，这件事就不再是企业之间的私事了。
发函方是谁：查完天眼查，反而不那么神秘
本来有一个很自然的推测：敢这么写函、句句点在”个人信息 + 出境 + 责任主体”上，发函方会不会本身就是做数据出境业务的（所以才知道门在哪）？
查完工商信息，这个假设不成立。
| 项目 | 太原承明科技有限公司 |
|---|---|
| 成立日期 | 2026-04-20（发函时成立仅约 5 个月） |
| 注册资本 | 20 万元（认缴至 2031，实缴 0） |
| 股东 | 王峰（100%，自然人独资） |
| 法定代表人 | 宫淑芳（兼任董事/总经理/财务负责人） |
| 经营范围 | 软件开发、人工智能（基础/应用/理论与算法）软件开发、网络与信息安全软件开发、动漫游戏开发、技术服务与推广 |
| 产品 / 招聘 / 对外投资 / 变更 / 行政处罚 | 全部为空 |
| 企业自身风险 | 0 条 |
| 新闻舆情 | 22 条，全部集中在 2026-09-20 发函事件本身，此前无任何公开经营报道 |
三点值得注意：
- 经营范围里没有任何”数据出境 / 跨境合规 / 数据安全咨询”业务——”网络与信息安全软件开发”指的是软件产品，不是合规服务。所以”它是数据出境同行所以把握准”这条推理，在工商数据层面得不到支持。
- 法定代表人宫淑芳是典型的”职业挂名”特征：以她为法定代表人或高管检索，命中 100 多家企业，横跨家政、珠宝、食品、物业、图文刻字、商贸、保洁等毫无关联的行业——一个名字挂在各行各业，而唯一股东是王峰。
- 所以那些话为什么写得那么准？ 最简解释是：专业律师代书 + 对智谱已公开文件的扎实尽调。新加坡主体「JINGSHENG HENGXING TECHNOLOGY PTE. LTD.」就写在其英文隐私政策里，「间接全资子公司、2023 年 11 月注册」写在港交所招股书里——中文与英文协议主体不一致，是公开可查的矛盾，不需要行业内部身份就能拿到。
那”同行”这层还有意义吗？有，但含义变了：它不再说明发函方”懂行”，只说明——一个成立五个月、注册资本二十万、实缴为零的小公司，也会被这件事逼到发正式函。
同时要把两件事分开：
- 动机可疑，不等于事实不实。 东财股吧出现”恶意做空””空壳”言论，但注意：网上一些”空壳”指控指向的是重庆承明等同名公司，与本案主体无股权关联（”王峰 + 承明”交叉检索只命中太原这一家），不能当直接证据。
- 技术事实不由发函方背书。 ferstar 的逆向调查已被独立复核；函件的可信度主要来自技术复现，而不是发函方的名气。而”新设 + 零实缴 + 挂名法代”这一组特征，确实让它不能排除测试性发函、舆情造势或配合资本运作的可能——但这条链目前没有任何实证，只能挂着，不能当结论。
对监管而言，动机本来就不相关。 数据出境违规是客观事实认定：举报人是谁、出于什么目的，不影响立案与否。所以不管发函方是受害者还是另有算计，该来的合规追问一样会来。
最后补一句行业层面的：这次并不是孤例——此前已有公开信息显示，Claude Code、Grok Build 等 AI 编程工具都被指出存在把用户项目/敏感信息回传云端的情况（其中 Grok Build 被指直接打包上传云存储）。一旦监管真的动手，大概率不是单点处罚，而是一轮行业专项检查。
智谱的处境：单方承诺 vs 监管取证
智谱目前公开的回应，核心是两个词：”立即销毁”和”已修复”。
问题在于，这两个词都是不可验证的单方承诺——用户没有独立的观测手段去核对。而监管不认承诺，监管认日志：数据去哪了、有没有共享给第三方、有没有用于模型训练、有没有跨境传输、私钥怎么保管、数据被访问/下载/导出的完整操作日志、以及”销毁”的确切范围和删除完成证明。
把承明科技那封函件列的清单，和一份典型的行政调查取证清单并排看，会发现它们几乎是同一张纸。
这就是为什么我说它不是”用户维权函”，而是准举报材料。10 月 10 日那个期限，既是它给自己的取证窗口，也是给监管留的入场时间。
对行业的含义
这件事的真正意义，是给整个 AI 编程工具赛道改了一条规则：“上传代码”从一个产品功能，变成了一块合规雷区。
从此以后，企业采购 AI 编程工具，硬指标至少要加四条：
- 传不传——有没有静默上传；
- 传到哪——境内还是境外，出境走的是什么合规路径；
- 能不能关——有没有用户可见、可用的开关；
- 有没有可导出的日志——出了事，用户能不能自己查。
前三条是产品设计，第四条是证据能力：一个不允许你自己取证的机制，本质上把你的合规命运交到了对方手里。
尾声
代码是资产，个人信息是权利。
资产可以谈价，权利不能。
现实更新以官方回应与监管通报为准。文中法律框架基于公开生效的规则整理，具体条文号请以国家法律法规数据库为准；事实部分以公开报道为准。
相关阅读：
- 《壳是怎么把责任藏起来的》——从四个”看得见”到一个个”关掉”
- 《紧箍咒清单：检验任何 Agent 壳的 18 条红线》