幣界網消息，ZCode開源後，開發者發現一個安全問題：預設的加密密鑰可以根據操作系統、用戶名和用戶目錄直接算出來。ZCode會將用戶的登錄憑據加密後保存在本地，但官方文檔稱這些憑據「按設備加密，換機後無法解密」，而公開源碼裏的預設方案並沒有使用設備ID或硬體信息，導致官方說法與開源代碼不符。雖然攻擊者需要先獲取本地憑據文件，但一旦文件洩露，ZCode、Z.ai或Bigmodel的登錄狀態可能被恢復，進而被冒用賬號或消耗coding plan額度，但不會導致電腦被黑。