Z.ai tem reputação abalada após uploads não autorizados serem detectados

A startup chinesa Z.ai, também conhecida como Zhipu AI, admitiu que um problema de segurança fez com que arquivos fossem enviados sem autorização para o serviço de nuvem da Alibaba. O incidente foi descoberto na sexta‑feira por um blogueiro técnico independente, que encontrou um arquivo de 313 MB que falhou 564 vezes antes de ser enviado e outro de 15 KB que foi enviado com sucesso.

A empresa pediu desculpas publicamente e corrigiu a vulnerabilidade que permitia o upload.

O que aconteceu

O pesquisador, que se identifica como Ferstar, analisou um diretório local da plataforma ZCode e localizou um arquivo compactado de 313 megabytes aguardando envio para a nuvem da Alibaba. O mesmo arquivo havia tentado ser enviado 564 vezes antes de ser aceito.

Um segundo arquivo, muito menor – 15 kilobytes – foi enviado sem problemas. Ambos estavam criptografados. Segundo o nome dos arquivos, o maior continha um instantâneo de um projeto comercial em desenvolvimento, incluindo todo o histórico de versões do Git.

“O pesquisador, que se identifica como Ferstar, analisou um diretório local da plataforma ZCode e localizou um arquivo compactado de 313 megabytes aguardando envio para a nuvem da Alibaba.”

Ferstar informou que não conseguiu abrir o arquivo nem com o cliente ZCode, sendo possível descriptografá‑lo apenas com a chave privada que fica nos servidores da Z.ai.

Por que importa

Especialistas de segurança alertam que a falha pode enfraquecer a confiança dos desenvolvedores na Z.ai, justamente quando a proteção de dados vem se tornando um tema central no setor de inteligência artificial. A empresa já se desculpou e aplicou um patch, mas a exposição de um projeto comercial pode gerar dúvidas sobre a robustez de seus sistemas.