9月18日，开发者ferstar通过逆向分析发现，智谱AI编程工具ZCode在用户登录状态下，会在后台自动打包整个工作区并加密上传至云端。被上传的数据包含完整的.git版本历史、LFS大文件缓存及本地提交记录，总量达313MB、涉及约4.2万个文件，其中超8成为项目历史记录。
该上传机制存在多项争议设计：加密所用的RSA公钥由服务端动态下发，解密私钥仅保存在智谱一侧，用户本地无法解密查看上传内容；客户端界面虽有两个相关开关，但均无法关闭打包上传行为，“优化体验”仅控制是否用于模型训练，“仓库快照索引”仅决定云端是否建立检索目录。此外，用户手动删除本地加密包后，软件会自动重新生成并反复重试上传。
智谱于当日傍晚通过官方社群致歉，解释称问题源于“代码库索引”功能，该功能用于支持会话检查点恢复、历史版本回退及Repo Wiki（仓库百科）等功能，其中Repo Wiki在生成页面时可能触发仓库数据上传。
但智谱承诺，Wiki页面在云端生成后，相关上传数据会立即销毁，不会保存。官方同时宣布近期将开源ZCode代码库、邀请第三方审查，并为全体用户提供一次周额度重置作为补偿。
然而风波并未平息。9月20日，太原承明科技有限公司向智谱发出正式函件，指出独立取证发现上传行为“自动触发、批量发生”，所涉数据包含完整源代码、系统架构、数据库口令、云服务凭证及员工个人信息等，远超ZCode隐私政策载明的收集范围。该公司还称，在智谱公开致歉当日凌晨仍监测到上传行为，对“已修复”声明提出质疑。
同时，函件指出ZCode客户端的网络请求指向新加坡主体，而服务协议签约主体为北京智谱华章，要求智谱说明本次上传的责任主体归属，以及数据是否发生出境传输或境外存储。
承明科技要求智谱于10月10日前书面答复多项事项，包括彻底删除已上传数据、说明数据是否跨境传输或用于模型训练、提供加密私钥保管方式及完整操作日志等，并保留索赔及向监管部门投诉的权利。
目前，针对承明科技的指控，智谱方面尚未进一步回应。