ZCode客户端全量开源、企业追责函已至；阶跃Step 5 Preview跻身开源前三、10月15日放权重；硅基流动年内融资近29亿元国资入场；千问Qwen-Image-2.1开源但限非商用
9月21日9时02分，智谱宣布旗下桌面AI编程工具ZCode已完成整改、向所有用户道歉，同步在GitHub开源（仓库zai-org/ZCode），并承诺建立常态化产品安全漏洞机制。此前9月18日，开发者通过逆向工程发现ZCode在登录状态下后台静默打包整个项目工作区、将加密数据包上传至第三方云服务器；智谱当日致歉，承认默认开启的"代码库索引/Repo Wiki"功能在生成云端Wiki页面时可能触发仓库数据上传。9月20日，太原一家科技公司已向智谱发出正式追责函，要求整改问责并保留法律行动权利。从曝光到全量开源仅三天，速度在国产编程工具中前所未有——但道歉和开源能否覆盖商业秘密争议，是另一个问题。
阶跃星辰9月20日发布新一代旗舰基座模型Step 5 Preview：稀疏MoE架构、总参数600B、激活27B，支持100万Token上下文与文本、视觉原生输入，面向编程、软件工程、知识工作与金融场景。Artificial Analysis综合智能指数44分、位居开源模型前三，单任务成本称仅Claude Opus 5的1/8；第三方接口已全量开放，完整权重10月15日放出。公司正处赴港IPO关键窗口，发布节奏明显服务招股叙事，成绩目前仍是厂商口径、尚待社区复现。
硅基流动9月20日宣布完成B+轮二期与C轮融资，本轮约8至9亿元；加上6月超20亿元B轮，2026年累计股权融资近29亿元。投资方包括中国互联网投资基金、国新基金、中国移动链长基金等国家级基金及央地国资。资金投向推理引擎、异构算力调度、模型与芯片适配。三个月两轮、投资方清一色国资，推理调度层正被当作算力基础设施的国家队配套来投；公司已递表港股，估值天花板与薄毛利率仍是待解问题。
阿里千问9月20日开源Qwen-Image-2.1图像模型：文生图与图像编辑整合进同一模型，视觉生成部分仅7B参数，原生支持透明图像生成与编辑（抠图、透明图层），最多接收10张参考图增强局部编辑与人像、商品保真度。模型上线Hugging Face与魔搭社区，但权重以研究许可发布、限非商业用途——"开源"的实际身份更接近免费试用，商用仍需走阿里云付费通道。
从逆向曝光到全量开源仅用三天，信任修复速度罕见；但云端索引逻辑、历史数据去向与企业追责，不在开源仓库覆盖范围内
这是厂商单方口径：代码开源、第三方审查报告出具之前，开发者无从核实。企业追责函的出现说明争议焦点已经从"功能设计失误"转向"是否构成商业秘密泄露"，这不是道歉和额度重置能了结的层级。开源仓库只解决"客户端做了什么"，云端索引服务的处理逻辑、历史上传数据的去向，开源无法覆盖。
代码库索引、上下文检索这类"默认开启"的便利功能，天然与代码资产边界冲突；主流AI编程产品都有类似机制。ZCode被抓包更可能是逆向曝光的偶然。真正该追问的是行业惯例：默认开启、模糊告知、用户难以退出——这套设计在隐私监管趋严的环境下还能维持多久。
三天完成整改、道歉到开源，速度值得肯定，比继续辩解或冷处理高明得多。但开源是姿态也是义务：如果社区审查发现更多问题、或第三方报告迟迟不出，开源反而会成为新的质疑入口。判断成色只看一条——审查报告敢不敢公开细节，而不是仓库里有没有代码。
智谱刚完成约50亿美元融资、年末ARR指引上调至30亿美元，编程是核心付费场景之一。若事件引发企业客户对国产编程工具的信任收缩、采购流程加上私有化和审计门槛，代价远大于一次安全事故本身。对大陆开发者则是提醒：用任何云端AI编程工具前，先搞清楚哪些代码会离开本机——这应是选型第一条，而非出事之后才查。