Раскрыта конфиденциальная история чата: утечка миллиона строк DeepSeek за считанные минуты!

от

Исследователи из Wiz обнаружили базу данных ClickHouse, принадлежащую китайскому стартапу ИИ DeepSeek, которая содержала более миллиона строк записей чатов и конфиденциальных данных. Эта база данных была в открытом доступе, что давало исследователям полное право на ее управление и операции.

Пока крипто-инвесторы ловят иксы и ликвидации, мы тут скучно изучаем отчетность и ждем дивиденды. Если тебе близка эта скука, добро пожаловать.

Купить акции "голубых фишек"

После разоблачения Wiz безопасность была быстро усилена после того, как он поделился ею с DeepSeek. Однако, возможно, имело место предварительное непреднамеренное раскрытие информации. Этот тип исследования не погружается глубоко в базы данных по этическим соображениям. Тем не менее, Wiz предположил, что злоумышленник мог бы расширить свои уровни доступа в системе DeepSeek и получить конфиденциальные журналы, личные сообщения, пароли и локальные файлы — и все это без необходимости какой-либо формы аутентификации.

Wiz сосредоточился на изучении безопасности стартапа, привлеченный недавней шумихой вокруг его модели рассуждений R1 в СМИ. Удивительно быстро, некоторые первоначальные поиски привели к обнаружению их базы данных ClickHouse в течение нескольких минут. Wiz удалось получить доступ и взаимодействовать с этой базой данных через HTTP-интерфейс ClickHouse.

Как аналитик, достигнув пункта назначения, мне оставалось лишь выполнить команду «SHOW TABLES;«, которая быстро вывела на экран список доступных наборов данных. Среди них была таблица «log_steam», богатая многочисленными фрагментами конфиденциальных данных.

Согласно выводам Wiz, они подчеркивают быстрый темп внедрения ИИ и указывают на потенциальные риски. Такая быстрая разработка, развертывание и интеграция решений ИИ может непреднамеренно способствовать рискованному поведению в области безопасности. Учитывая критически важные и конфиденциальные данные, которыми в настоящее время управляют системы ИИ, для отрасли крайне важно внедрить строгие меры безопасности, сопоставимые с теми, которые используют ведущие поставщики облачных сервисов и инфраструктуры.

Смотрите также

2025-01-30 20:27