9月20日，智谱旗下AI编程工具ZCode“静默上传代码”风波从开发者社区的技术质疑升级为企业层面的正式追责。太原承明科技有限公司向ZCode客户端开发运营方北京智谱华章科技股份有限公司发出函件，称ZCode涉嫌在未经充分告知和授权的情况下，上传其公司数据资产及商业秘密，并就数据删除、流向说明、操作日志、责任主体和可能的数据出境等问题提出多项整改要求。

承明科技要求智谱在10月10日前作出书面答复，同时保留索赔、向监管部门投诉举报及提起诉讼等权利。按照函件说法，其独立取证发现，相关上传并非偶发的代码片段传输，而是自动、批量触发的完整归档，可能涉及项目源代码、系统架构、版本控制历史、数据库口令、云服务凭证及员工个人信息。承明科技还称，在智谱9月18日公开致歉当日凌晨，其仍检测到相关上传行为，因此对智谱所称“问题已经修复”的具体时间和实际效果提出质疑。

函件还将争议引向两个此前尚未充分说明的问题：此前上传的数据是否已彻底删除，以及数据是否可能发生跨境传输。承明科技称，ZCode部分网络请求指向新加坡主体，而产品服务协议的签约方为北京智谱华章，因此要求智谱说明实际的数据处理者、存储地点及是否向第三方共享。截至发稿前，智谱尚未就这封函件作出公开回应。

整场风波的起点，是一名开发者清理电脑磁盘时发现的一个313MB加密包。9月17日晚，开发者ferstar在清理一台256GB存储的MacBook Air时，发现用户目录下~/.zcode文件夹占用超过700MB空间，其中一个名为v2/checkpoints的目录存放着一份超过300MB的加密文件。状态信息显示，ZCode曾扫描其本地打开的一个商业项目，将约345MB工作区内容打包、加密成313MB的“baseline”全量快照并尝试上传，因文件体积等原因连续失败564次，加密包一直停留在本地pending目录等待重试。

ferstar通过路由器连接记录和流量日志确认，该商业项目压缩包最终并未传出本地。但其拆解客户端app.asar文件后还原出的上传流程显示，ZCode会先向zcode.z.ai请求快照上传凭证，服务器随后下发阿里云OSS表单签名、文件路径、大小限制和RSA公钥，客户端在本地将项目压缩为tar.gz，使用AES-256-CTR加密，再用服务器下发的RSA公钥封装密钥，最后把文件直接上传到阿里云OSS。除上述上传失败的项目外，一份只有538个文件、加密后约15KB的公开代码仓库快照，状态已显示被服务端接收。