Kritični propust DeepSeeka - curenje lozinki i osetljivih razgovora

Istraživači Wiza, vodeće kompanije za sajber-bezbednost, otkrili su javno dostupnu bazu podataka koja je bila povezana sa DeepSeekom. Baza podataka, dostupna na internetu bez ikakvog oblika autentifikacije, sadržala je osetljive informacije, uključujući uputstva za treniranje modela, korisničke upite i potencijalno osetljive skupove podataka.

"Ne samo da bi haker mogao da pristupi osetljivim podacima i porukama tekstualnog formata u četu već bi potencijalno mogao da pretraži i lozinke i lokalne datoteke zajedno sa informacijama o vlasništvu", naveli su u Wizu.

Istraživači su tokom rutinskog pregleda javno dostupnih baza podataka na internetu otkrili server koji je čuvao obiman skup podataka povezanih sa DeepSeekom. Kako su naveli u svom izveštaju, baza podataka nije zahtevala nikakav oblik autentifikacije, što znači da joj je mogao pristupiti bilo ko ko poseduje odgovarajući URL.

 

Ulazna tačka očigledno je bio sistem za upravljanje podacima ClickHouse. Taj softver otvorenog koda, koji je razvio Yandex, projektovan je za brze analitičke upite u velikim bazama podataka i široko je rasprostranjen u obradi podataka u realnom vremenu, čuvanje log datoteke i analitiku velikih podataka, naveli su u Wizu.

"Ovo nije prvi put da smo svedoci takvih incidenata, niti će verovatno biti poslednji", izjavio je Amitai Cohen, istraživač Wiza. "Nedostatak osnovnih bezbednosnih mera poput autentifikacije i enkripcije ukazuje na sistemski problem u upravljanju rizicima modela veštačke inteligencije", dodaje.

 

Neposredno nakon pronalaska baze podataka, Wiz je obavestio nadležne u DeepSeeku, koji su brzo reagovali i onemogućili pristup serveru. "Baza podataka više nije dostupna, a uveli smo i dodatne bezbednosne protokole kako bismo sprečili slične incidente u budućnosti", saopštili su iz kineskog startapa.

"Pristup su onemogućili za manje od sat vremena", izjavio je za Reuters Ami Luttwak, direktor tehnološkog razvoja u Wizu, dodajući zabrinjavajuću konstataciju: "Ovo je bilo toliko jednostavno pronaći da verujemo kako nismo jedini koji su to otkrili".

Ostaje nejasno koliko su dugo podaci bili javno dostupni, ali baza je sadržala podatke još od 5. januara 2025. godine. Takođe nije poznato da li ih je neko preuzeo ili koristio u zlonamerne svrhe. Istraživači Wiza su istakli da su podaci bili dostupni u mnogo većem obimu, ali su se, vođeni profesionalnom etikom, suzdržali od detaljnijeg pretraživanja i hitno kontaktirali s nadležnima u DeepSeeku.