Base de datos expuesta de DeepSeek reveló mensajes de chat y datos internos.

 

• La plataforma china de inteligencia artificial generativa DeepSeek ha tenido un ascenso meteórico esta semana, avivando rivalidades y generando presión en el mercado para las empresas de IA con sede en Estados Unidos, lo que a su vez ha invitado al escrutinio del servicio. En medio del bombo, investigadores de la firma de seguridad en la nube Wiz publicaron hallazgos el miércoles que muestran que DeepSeek dejó una de sus bases de datos críticas expuesta en Internet, filtrando registros del sistema, envíos de mensajes de usuario e incluso tokens de autenticación API de los usuarios, por un total de más de 1 millón de registros, a cualquiera que se encontrara con la base de datos.
• Cita de Ami Luttwak (CTO de Wiz): "El hecho de que ocurran errores es correcto, pero este es un error dramático, porque el nivel de esfuerzo es muy bajo y el nivel de acceso que obtuvimos es muy alto... Yo diría que significa que el servicio no es lo suficientemente maduro como para ser utilizado con datos confidenciales."
• Hallazgos de Wiz: La base de datos expuesta era un tipo de base de datos de código abierto típicamente utilizada para análisis de servidores llamada base de datos ClickHouse. La información expuesta incluía archivos de registro que contenían las rutas o caminos que los usuarios habían tomado a través de los sistemas de DeepSeek, los mensajes de los usuarios y otras interacciones con el servicio, y las claves API que habían utilizado para autenticarse.
• Preocupaciones de Jeremiah Fowler (investigador de seguridad independiente): "Es bastante impactante construir un modelo de IA y dejar la puerta trasera abierta de par en par desde una perspectiva de seguridad... Este tipo de datos operativos y la capacidad de cualquier persona con una conexión a Internet para acceder a ellos y luego manipularlos es un riesgo importante para la organización y los usuarios."
• Similitudes con OpenAI: Los sistemas de DeepSeek aparentemente están diseñados para ser muy similares a los de OpenAI, quizás para facilitar a los nuevos clientes la transición al uso de DeepSeek sin dificultad. Toda la infraestructura de DeepSeek parece imitar a la de OpenAI, dicen, hasta detalles como el formato de las claves API.
• Investigaciones y preocupaciones regulatorias: DeepSeek también ha atraído la atención de legisladores y reguladores de todo el mundo, quienes han comenzado a hacer preguntas sobre las políticas de privacidad de la empresa, el impacto de su censura y si su propiedad china plantea preocupaciones de seguridad nacional. Italia, por ejemplo, ha enviado preguntas a DeepSeek sobre sus datos de entrenamiento. La Marina de los EE. UU. también ha advertido a su personal que no utilice los servicios de DeepSeek.

El artículo concluye enfatizando que, a pesar de la novedad de la IA, las vulnerabilidades básicas de seguridad, como las bases de datos expuestas, siguen siendo un problema y representan un riesgo para las empresas y los usuarios.

Fuente : wired