DeepSeek 데이터 유출: 사이버 회사가 웹에 노출된 데이터 보고

최근 사이버 보안 폭로에서 뉴욕에 본사를 둔 사이버 보안 회사 Wiz는 저명한 중국 인공지능(AI) 회사인 DeepSeek의 데이터베이스가 우연히 노출되어 사용자들의 채팅 메시지와 개인 정보를 포함한 민감한 데이터가 공개 인터넷에 유출되었다고 밝혔습니다.

2023년 항저우에서 설립된 DeepSeek는 혁신적인 챗봇 모델, 특히 DeepSeek-R1 추론 모델 덕분에 AI 산업에서 빠르게 성장하고 있습니다.

이 AI 모델은 성능이 뛰어나며, OpenAI의 o1과 같은 미국의 경쟁자들과 경쟁할 수 있는 능력을 가지고 있지만, 더 적은 자원을 사용합니다.

수요일에 발표된 블로그 게시물에서 Wiz는 DeepSeek와 관련된 공개적으로 접근 가능한 ClickHouse 데이터베이스를 확인했다고 밝혔습니다.

노출된 데이터베이스는 내부 데이터에 접근할 수 있는 능력을 포함하여 데이터베이스 작업에 대한 완전한 제어를 허용했습니다. 이 데이터베이스에는 채팅 기록, 비밀 키, 백엔드 세부정보 및 기타 매우 민감한 정보를 포함한 백만 줄 이상의 로그 스트림이 포함되어 있었습니다.

“몇 분 만에 우리는 DeepSeek와 연결된 공개적으로 접근 가능한 ClickHouse 데이터베이스를 발견했습니다. 완전히 열려 있고 인증되지 않아 민감한 데이터가 노출되었습니다. oauth2callback.deepseek.com:9000 및 dev.deepseek.com:9000에서 호스팅되었습니다.”라고 사이버 보안 회사는 블로그 게시물에서 썼습니다.

“이 데이터베이스에는 채팅 기록, 백엔드 데이터 및 로그 스트림, API 비밀 및 운영 세부정보를 포함한 민감한 정보의 상당량이 포함되어 있었습니다.

“더 중요한 것은, 노출로 인해 DeepSeek 환경 내에서 완전한 데이터베이스 제어와 잠재적인 권한 상승이 가능해졌으며, 외부 세계에 대한 인증이나 방어 메커니즘이 없었습니다.”

노출된 데이터베이스를 발견한 후, Wiz의 공동 창립자 Ami Luttwak은 그들의 연구 팀이 즉시 그리고 책임감 있게 DeepSeek에 문제를 공개했다고 밝혔으며, 그 후 DeepSeek는 신속하게 데이터베이스를 확보했습니다.

“그들은 한 시간도 안 되어 이를 제거했습니다.”라고 Luttwak은 말했습니다. “하지만 이것을 찾는 것이 너무 간단했기 때문에 우리가 유일한 발견자가 아닐 것이라고 믿습니다.”

DeepSeek가 문제를 신속하게 해결했지만, 이 발견은 데이터 프라이버시와 정부 기관에 의한 오용 가능성에 대한 중대한 우려를 불러일으켰습니다.

DeepSeek는 현재 진행 중인 사이버 공격으로 인해 사용자 등록을 제한하고 있습니다. 단 2일 전, 또 다른 사이버 보안 회사가 DeepSeek를 탈옥할 수 있었습니다.

이 사건들은 AI 기술의 빠른 발전과 관련하여 데이터 보안 및 프라이버시를 보장하는 데 있어 증가하는 도전 과제를 강조합니다.

DeepSeek는 이 문제에 대해 아직 논평하지 않았습니다.