DeepSeek nechal internú databázu a históriu chatu dostupnú na internete

Bezpečnostná spoločnosť Wiz Research objavila vážnu bezpečnostnú chybu v infraštruktúre čínskej AI platformy DeepSeek. Ich verejne dostupná databáza obsahovala citlivé informácie vrátane tajných API kľúčov, histórie chatov a ďalších údajov, ktoré mohli byť zneužité tretími stranami.

Wiz upozornil, že databáza bola úplne otvorená, bez akejkoľvek autentifikácie, čo znamenalo, že ktokoľvek mohol nielen prezerať dáta, ale aj manipulovať s nimi či vykonávať vlastný kód. Po upozornení DeepSeek okamžite zareagoval a obmedzil verejný prístup, čím databázu deaktivoval.

Podľa zistení Wiz bola databáza postavená na ClickHouse a obsahovala viac ako milión záznamov, pričom niektoré z nich uchovávali identifikačné kľúče užívateľov a iné citlivé informácie. Útočníci mohli prostredníctvom jednoduchých SQL príkazov nielen extrahovať údaje, ale aj potenciálne získať heslá v čitateľnom texte či prístup k súborom, ktoré obsahovali proprietárne informácie.

Tento incident opäť upriamil pozornosť na problematiku ochrany súkromia a bezpečnosti dát v oblasti AI chatbotov. DeepSeek získal veľkú popularitu, ale s tým prišli aj obavy týkajúce sa jeho správy údajov.

Wiz dodáva:

Podrobnejšia analýza jeho zásad ochrany súkromia ukázala, že spoločnosť uchováva všetky zhromaždené údaje na serveroch v Číne a môže ich zdieľať s čínskou vládou. To vyvoláva obavy o možné zneužitie dát, najmä v súvislosti so zákonmi, ktoré v Číne vyžadujú, aby firmy poskytovali svoje údaje vláde na účely spravodajstva či iných operácií.

Nakoniec to nie je nič nové a treba s tým rátať u každej čínskej firmy. Hlavne však vládne zložky by si na to mali dávať pozor. Napríklad americké námorníctvo už zakázalo používanie DeepSeeku pre svojich zamestnancov, a to ako na pracovné, tak aj na súkromné účely. Zrejme ďalšie firmy budú nasledovať.

Celý prípad pripomína situáciu okolo TikToku, ktorý bol v USA dlhodobo pod drobnohľadom kvôli obavám z možného zneužitia údajov amerických používateľov. Americkí zákonodarcovia v reakcii na tieto hrozby presadili zákon Protecting Americans from Foreign Adversary Controlled Applications Act (PAFACA), ktorý vyžaduje, aby TikTok buď oddelil svoju americkú divíziu od čínskej materskej spoločnosti ByteDance, alebo ukončil svoje pôsobenie v USA. Najnovšie sa hovorí, že americkú časť má odkúpiť Microsoft, ale uvidíme, ako to skončí.