A héten valósággal berobbant a köztudatba a kínai DeepSeek mesterséges intelligenciája (MI), ami a fejlesztő állítása szerint sokkalta olcsóbban készült, mint a többnyire nyugati versenytársak nyelvi modelljei. Ezt pedig az MI farvizén felfutott cégek is a saját bőrükön érezhették.
A megoldást mi is kipróbáltuk, valamint – kicsit más szemszögből – a Wiz Research biztonsági kutatói is. Találtak is egy elég súlyos biztonsági rést a szakemberek; az egyik adatbázist gyakorlatilag semmi nem védte.
Ez azt jelenti, hogy aki felfedezte ezt a DeepSeek-adatbázist, az több mint egymillió rekordhoz szerezhetett hozzáférést.
Ezek között felhasználói adatok, rendszernaplók, API-kulcsok és promptok (parancsok) egyaránt voltak – részletezi az Engadget. A kutatók szerint ráadásul nem is kellett nagyon mélyen kutatni a védtelen adatbázis után; azt szinte azonnal megtalálták.
Míg más esetekben órákig kell kutakodni sebezhető adatbázisok után, ez „ott volt a bejárati ajtónál”. A Wizz Research kutatói szerint elképzelhető, hogy egy rosszindulatú fél visszaélhetett volna a biztonsági réssel, hogy hozzáférjen a DeepSeek rendszereihez, de ők csak egy alapszintű értékelést végeztek – és nem akarták veszélyeztetni a felhasználói adatok (egyébként sem túl acélos) védelmét. Arra ugyanakkor nem találtak bizonyítékot, hogy ki is használta valaki ezt a sebezhetőséget.
Mivel egy új cégről van szó, aminek a központja ráadásul Kínában van, a szakemberek nem tudták pontosan, hová küldjék el a megállapításaikat. Így hát minden e-mail-címre és LinkedIn-profilra elküldték azokat, amit a céghez lehet kapcsolni. A biztonsági rést 30 perccel a levelek kiküldése után befoltozta a cég.
Érdemes megjegyezni, hogy korábban az OpenAI-nak is meggyűlt már a baja az adatvédelemmel, nem is egyszer.
Ha máskor is tudni szeretne hasonló dolgokról, lájkolja a HVG Tech rovatának Facebook-oldalát.
