DeepSeek Data Leak: La società informatica riporta dati esposti sul web

In una recente rivelazione sulla cybersicurezza, la società informatica con sede a New York Wiz ha dichiarato di aver recentemente scoperto un database di DeepSeek, una prominente azienda cinese di intelligenza artificiale (AI), esposto involontariamente, che ha rivelato dati sensibili, inclusi messaggi di chat e informazioni personali degli utenti, all’internet aperto.

DeepSeek, fondata a Hangzhou nel 2023, è rapidamente salita nell’industria dell’AI grazie ai suoi modelli di chatbot innovativi, in particolare il modello di ragionamento DeepSeek-R1.

Questo modello di AI è stato lodato per le sue prestazioni, paragonabili a quelle dei concorrenti statunitensi come o1 di OpenAI, pur utilizzando meno risorse.

In un post sul blog pubblicato mercoledì, Wiz ha dichiarato di aver identificato un database ClickHouse accessibile pubblicamente relativo a DeepSeek.

Il database esposto ha consentito il completo controllo sulle operazioni del database, inclusa la possibilità di accedere ai dati interni. Conteneva oltre un milione di righe di flussi di log contenenti cronologia delle chat, chiavi segrete, dettagli di backend e altre informazioni altamente sensibili.

“Nel giro di pochi minuti, abbiamo trovato un database ClickHouse accessibile pubblicamente collegato a DeepSeek, completamente aperto e non autenticato, esponendo dati sensibili. Era ospitato su oauth2callback.deepseek.com:9000 e dev.deepseek.com:9000,” ha scritto la società di cybersicurezza nel suo post sul blog.

“Questo database conteneva un volume significativo di cronologia delle chat, dati di backend e informazioni sensibili, inclusi flussi di log, segreti API e dettagli operativi.

“Più criticamente, l’esposizione ha consentito il pieno controllo del database e una potenziale escalation dei privilegi all’interno dell’ambiente DeepSeek, senza alcuna autenticazione o meccanismo di difesa verso il mondo esterno.”

Scoprendo il database esposto, il co-fondatore di Wiz, Ami Luttwak, ha dichiarato che il loro team di ricerca ha immediatamente e responsabilmente comunicato il problema a DeepSeek, che ha poi rapidamente messo in sicurezza il database.

“Lo hanno rimosso in meno di un’ora,” ha detto Luttwak. “Ma questo era così semplice da trovare che crediamo di non essere gli unici a trovarlo.”

Sebbene DeepSeek abbia agito rapidamente per risolvere il problema, questa scoperta ha sollevato preoccupazioni significative riguardo alla privacy dei dati e al potenziale abuso da parte di enti governativi.

Attualmente, DeepSeek ha limitato le registrazioni degli utenti a causa di un attacco informatico in corso. Solo 2 giorni fa, un’altra società di cybersicurezza è riuscita a jailbreakare DeepSeek.

Questi incidenti sottolineano le crescenti sfide nel garantire la sicurezza e la privacy dei dati, in particolare con il rapido avanzamento delle tecnologie AI.

DeepSeek deve ancora commentare la questione.