Szolgáltatóválasztás
Nyitott adatbázis a DeepSeek csevegéseivel
2025 januárjában biztonsági kutatók egy jelszó nélkül elérhető DeepSeek-adatbázist találtak, benne a felhasználók csevegéseivel és titkos kulcsokkal. Bárki lekérdezhette volna egy böngészőből.
A kínai DeepSeek 2025 januárjában lett világhírű: alkalmazása néhány nap alatt a letöltési listák élére került. Ugyanezekben a napokban a Wiz biztonsági cég kutatói a cég internetről elérhető rendszereit vizsgálva két olyan szervert találtak, amelyeken egy adatbázis hitelesítés nélkül volt elérhető.
Az adatbázis egyik táblájában több mint egymillió naplósor volt, január 6-tól kezdődően. A sorok között egyszerű, titkosítatlan szövegként szerepeltek a felhasználók csevegései, API-kulcsok és a háttérrendszer belső részletei. A szerver beépített webes felületén bárki tetszőleges lekérdezést futtathatott a böngészőjéből. A kutatók szerint ezzel az adatbázis teljes egészében irányítható volt, és egy támadó a cég rendszereiben is továbbjuthatott volna.
A Wiz csak a táblák listáját kérdezte le, és azonnal jelezte a hibát; a DeepSeek gyorsan lezárta a hozzáférést. Hogy előttük más is rátalált-e az adatbázisra, nem ismert.
A kutatók szerint a legnagyobb veszélyt nem valamilyen különleges AI-kockázat jelenti, hanem egy nagyon is hétköznapi hiba: egy rosszul beállított, az internet felé nyitott adatbázis. Az AI-szolgáltatók gyorsan nőnek, és a biztonsági gyakorlatuk nem mindig tart lépést.
Mit tanulhatunk belőle?
Amit egy felhős AI-szolgáltatásba beírunk, az a szolgáltató naplóiban, adatbázisaiban és mentéseiben él tovább, és annyira van biztonságban, amennyire a szolgáltató beállításai. Ezt kívülről nem látjuk, azt viszont mi döntjük el, mi kerül ki a kezünkből. A felhős AI ettől még jól használható munkára. A Confiella a felhőbe csak átnézett, álnevesített szöveget küld, egy EU-s regionális végpontra. Más eszköznél is ez a jó gyakorlat: ügyféladathoz olyan szolgáltatást válasszunk, amelynek ismerjük a szerződéses és adatkezelési feltételeit, és a neveket, azonosítókat hagyjuk ki a szövegből.
Források
- Wiz: Wiz Research Uncovers Exposed DeepSeek Database Leaking Sensitive Information, Including Chat History
- TechTarget: Wiz reveals DeepSeek database exposed API keys, chat history
A cikk a felsorolt nyilvános források alapján készült. Ha hibát talál benne, írjon nekünk: [email protected]