Chatgeschiedenis DeepSeek gelekt vanwege onbeveiligde database

Ruim één miljoen regels logstreams

Omdat een localhost vanaf het internet openstond, is er gevoelige informatie gelekt. Kwaadwillenden konden de interne gegevens van de database inzien. Het betrof meer dan één miljoen regels logstreams waaronder chatgeschiedenis, API-secrets, backend-details, geheime sleutels en andere gevoelige informatie.

Geen authenticatie nodig

Vanwege de snelgroeiende populariteit van DeepSeek onderzochten onderzoekers van Wiz de beveiliging van de AI-chatbot. Naar verluidt, hadden ze binnen enkele minuten de ClickHouse-database gevonden waar DeepSeek op aangesloten is. Er was geen authenticatie voor nodig.

Kritiek risico

“Dit toegangsniveau vormde een kritiek risico voor DeepSeek’s eigen beveiliging en voor zijn eindgebruikers,” stelt Wiz. “Niet alleen kon een aanvaller gevoelige logs en daadwerkelijke platte-tekst chatberichten ophalen, maar ze konden ook platte-tekst wachtwoorden en lokale bestanden exfiltreren, samen met propriëtaire informatie, rechtstreeks van de server met behulp van query’s.”