Banco de Dados da DeepSeek vaza chaves secretas, Logs e histórico de conversas são expostos
- Cyber Security Brazil
- 30 de jan.
- 3 min de leitura
Uma vulnerabilidade de segurança na DeepSeek, uma proeminente startup chinesa de inteligência artificial, expôs um banco de dados ClickHouse publicamente acessível. A base de dados continha informações altamente sensíveis, incluindo mais de um milhão de registros de logs.
A violação revelou históricos de conversas, chaves de API, detalhes do backend e metadados operacionais, levantando preocupações sobre as práticas de segurança em startups de IA em rápida expansão.
A DeepSeek recentemente ganhou destaque global com seu modelo de raciocínio de IA, o DeepSeek-R1, reconhecido por sua eficiência e baixo custo. O rápido crescimento da empresa colocou-a no mesmo patamar de gigantes do setor, como a OpenAI. No entanto, este incidente ressalta os desafios de manter segurança robusta em um setor que evolui rapidamente.
O banco de dados, hospedado nos domínios oauth2callback.deepseek.com:9000 e dev.deepseek.com:9000, estava acessível sem restrições, permitindo que usuários não autorizados executassem consultas SQL e visualizassem dados internos sigilosos.
A exposição comprometia não apenas a segurança da DeepSeek, mas também a privacidade de seus usuários. Além do acesso a logs sensíveis e mensagens de chat em texto puro, hackers poderiam potencialmente extrair senhas armazenadas em texto simples, arquivos locais e informações proprietárias diretamente do servidor, dependendo da configuração do ClickHouse.
Entre os dados mais críticos estavam:
Histórico de conversas do chatbot da empresa
Chaves de API em texto puro
Metadados de serviços de backend
Diretórios internos armazenados na tabela log_stream
Como a Falha Foi Descoberta?
Pesquisadores de segurança mapearam a superfície de ataque externa da DeepSeek utilizando técnicas padrão de reconhecimento. Inicialmente, identificaram cerca de 30 subdomínios.
A maioria desses subdomínios hospedava interfaces de chatbot, páginas de status e documentações. No entanto, uma análise mais profunda revelou duas portas abertas (8123 e 9000) que permitiam acesso direto ao banco de dados ClickHouse nos seguintes endereços:
O ClickHouse é um banco de dados open-source amplamente utilizado para processar grandes volumes de dados em tempo real. Sua interface HTTP permitiu que os pesquisadores da Wiz acessassem o caminho /play e executassem comandos SQL, revelando toda a estrutura de tabelas armazenadas.
A tabela log_stream chamou atenção por conter dados extremamente sensíveis, incluindo logs de conversas em texto puro, segredos de API e detalhes dos serviços de backend.
A falta de autenticação não apenas expôs esses dados, mas concedeu controle total sobre o banco de dados. Isso poderia permitir que hackers executassem comandos maliciosos, roubassem informações proprietárias ou até mesmo escalassem privilégios dentro do ambiente da DeepSeek.
A Wiz Research destacou que um invasor poderia explorar essa falha para recuperar senhas em texto puro, dados confidenciais do servidor e outras informações sigilosas. Embora a equipe tenha evitado consultas invasivas por questões éticas, a gravidade da falha foi enfatizada.
Após identificar a vulnerabilidade, a Wiz Research notificou a DeepSeek, que rapidamente corrigiu o problema e protegeu a base de dados. Até o momento, a empresa não fez um comunicado oficial sobre o incidente.
Este vazamento ressalta os riscos significativos associados à adoção acelerada de tecnologias de IA. Enquanto as discussões sobre segurança em IA frequentemente se concentram em ameaças futuras, como manipulação de modelos e ataques adversariais, este incidente demonstra que falhas básicas na infraestrutura também representam sérios perigos.
“As empresas estão correndo para adotar IA, mas muitas vezes negligenciam os frameworks de segurança projetados para proteger dados sensíveis”, alertou um porta-voz da Wiz Research. “Este caso serve como um alerta para toda a indústria.”
O vazamento do banco de dados da DeepSeek reforça a importância crítica da segurança no setor de IA. À medida que essas tecnologias se tornam essenciais para empresas em todo o mundo, startups e companhias estabelecidas devem priorizar a construção de infraestruturas seguras.
Sem medidas adequadas de proteção, dados sensíveis de usuários e informações proprietárias continuarão vulneráveis, colocando em risco não apenas empresas individuais, mas também a confiança global nos ecossistemas de IA.
Via - CSN
Comments