🚀 DeepSeek допустил утечку персональных данных
опубликовано 16 ч назад
Исследование Wiz Research выявило критическую уязвимость китайского AI-приложения DeepSeek. Оказалось, что база данных сервиса была открыта для публичного доступа, что привело к утечке секретных ключей и других чувствительных данных.
Что произошло?
DeepSeek — китайский стартап, который недавно буквально “выстрелил” своей новой ИИ-моделью, при этом обвалив рынок акций глобальных технологических компаний. Однако его быстрый рост сопровождался критическими пробелами в безопасности. Группа исследователей Wiz обнаружила открытую базу данных ClickHouse, принадлежащую DeepSeek. Эта база находилась в публичном доступе, что позволило злоумышленникам получить полный контроль над внутренними операциями компании.
База данных содержала более миллиона строк с:
- историей чатов пользователей;
- секретными API-ключами;
- внутренними данными о бэкенде DeepSeek;
- высокочувствительной информацией юзеров, включая их личные данные.
Что еще более тревожно, доступ к этим данным мог привести к эскалации привилегий в системе DeepSeek, позволяя третьим лицам манипулировать внутренними процессами компании.
Как была обнаружена утечка?
Исследователи Wiz Research начали изучение уязвимостей DeepSeek, анализируя его публичные домены. В процессе они выявили огромное количество открытых портов (8123 и 9000) на серверах oauth2callback.deepseek.com и dev.deepseek.com. Эти порты вели к незащищенной базе данных ClickHouse, позволяя выполнять SQL-запросы без каких-либо ограничений.
Выполнив команду SHOW TABLES;, исследователи обнаружили таблицу log_stream, содержащую обширные журналы активности, в том числе:
- временные метки сообщений пользователей;
- взаимодействия с внутренними API DeepSeek;
- историю чатов, ключи API и операционные данные.
Большинство портов DeepSeek не защищены от внешнего доступа. Источник: wiz.io
Этот уровень доступа представляет огромный риск не только для самого проекта DeepSeek, но и для всех его клиентов. Злоумышленники могли читать сообщения, похищать пароли, личные файлы и другие конфиденциальные данные.
Что это значит для пользователей?
Эта утечка подтверждает, что быстрое развитие AI-технологий зачастую идет вразрез с безопасностью. Компании спешат развертывать передовые решения, конкурируя за место лидера на рынке. При этом они базовые принципы защиты данных полностью игнорируются. В случае DeepSeek незащищенность базы данных привела к серьезной компрометации личных данных пользователей.
И стоит, в очередной раз, напомнить про базовые правила работы в интернете:
- Используйте сложные пароли и двухфакторную аутентификацию.
- Проверяйте, какие данные передаются в чат-ботах.
- Ограничивайте использование чувствительной информации в AI-сервисах.
Случай с DeepSeek — тревожный звонок для всех, кто использует AI-приложения, напоминая о важности защиты личной информации.
Больше актуальных новостей
Больше актуальных новостей
Breaking news
NBIM увеличил косвенное владение биткоином до $356,7 млн
