Wiz Research ha identificado una vulnerabilidad de seguridad crítica en el sistema DeepSeek, que fue corregida posteriormente. La falla permitió la exposición de una base de datos que contenía información sensible de los usuarios y datos internos.
Exposición de una base de datos vulnerable
La base de datos afectada estaba basada en ClickHouse, un sistema de bases de datos de código abierto que permite la generación de informes analíticos en tiempo real. Esta base de datos podía ser accedida sin autenticación, lo que permitió a los usuarios realizar consultas SQL arbitrarias directamente desde el navegador.
La exposición incluía más de un millón de registros, entre ellos el historial de chat de los usuarios con los modelos de inteligencia artificial de DeepSeek, claves de API, detalles del backend y otros datos confidenciales. La base de datos estaba alojada en oauth2callback.deepseek[.]com (8123/9000) y dev.deepseek[.]com (8123/9000), completamente abierta sin mecanismos de autenticación.
Datos expuestos
- Historial de chat: registros de texto sin formato de conversaciones entre usuarios y los modelos de inteligencia artificial de DeepSeek.
- Claves de API: claves secretas utilizadas para acceder e interactuar con la API de DeepSeek.
- Detalles del backend: información interna sobre la infraestructura y operaciones de DeepSeek.
- Metadatos operativos: registros y detalles sobre los procesos internos de DeepSeek.
La exposición permitió el control total de la base de datos, así como el posible escalamiento de privilegios dentro del entorno de DeepSeek. Los atacantes podrían haber exfiltrado contraseñas en texto plano y archivos locales junto con información confidencial.
Reacción inmediata
Wiz Research reveló el problema de manera inmediata y responsable a DeepSeek, que rápidamente solucionó la exposición. A medida que los modelos de IA se vuelven más sofisticados y ampliamente utilizados, es crucial que los desarrolladores y las organizaciones prioricen la seguridad y la privacidad para proteger los datos de los usuarios.