Wiz Research обнаружила открытую БД DeepSeek с чатами пользователей, секретными ключами и данными серверов

[Artifact]

Исследователи из Wiz Research https://x.com/wiz_io/status/1884707816935391703в сети открытую базу данных (общедоступную базу данных ClickHouse) с миллионом строк конфиденциальной информации китайского помощника искусственного интеллекта DeepSeek. https://www.wiz.io/blog/wiz-research...-database-leak — незашифрованные чаты пользователей, секретные ключи, логи, бэкенд и серверные данные. Всё это хранилось без необходимой защиты.
«После простой разведки общедоступной инфраструктуры DeepSeek мы обнаружили общедоступную базу данных ClickHouse, которая была полностью открыта и не требовала никакой аутентификации. Это означало, что любой мог получить доступ к журналам, содержащим реальные сообщения чата, внутренние секреты, служебные данные и потенциально извлечь данные вместе с повышением привилегий на сервере. Как только мы обнаружили уязвимость, мы сразу сообщили об этом команде DeepSeek. Сотрудники компании немедленно ограничили доступ к БД и удалили базу данных из Интернета», — https://www.wiz.io/blog/wiz-research...-database-leakв Wiz Research.
В сообщении Wiz говорится, что база ClickHouse была размещена на oauth2callback.deepseek.com:9000 и dev.deepseek.com:9000. Она была полностью открытой и раскрывала конфиденциальные данные. Компания Wiz работает на рынке ИБ с 2020 года. Она специализируется на выявлении рисков для безопасности различных облачных сервисов.




DeepSeek базируется в Ханчжоу и ясно даёт понять в своей политике конфиденциальности, что личная и системная информация, которую сервис компании собирает у пользователей, хранится «на защищённых серверах, расположенных в Китае». Согласно DeepSeek https://chat.deepseek.com/downloads/...%20Policy.html и https://chat.deepseek.com/downloads/...0of%20Use.html, ИИ‑сервис https://habr.com/ru/news/877256/, хранит и обрабатывает на своих серверах данные пользователей, включая IP‑адреса, user‑agent, шаблоны нажатий клавиш, информацию об устройствах, куки, отчёты о сбоях и журналы производительности, операционную систему, шаблоны или ритмы нажатия клавиш и язык системы. Удаление учётной записи пользователя не стирает как минимум часть этих данных.
https://habr.com/ru/news/877806/