Steven LafortuneDen 20. januar sendte den kinesiske startup DeepSeek chokbølger gennem den globale AI-sektor — og for den sags skyld flere finansmarkeder — efter at have hævdet, at dens nye serie af ræsonneringsmodeller, døbt “R1”, kunne køre langt billigere og bruge langt mindre energi end AI-drevne chatbots udviklet af techgiganterne OpenAI og Google.
Nu, mindre end en måned efter den hidtil usete lancering, breder DeepSeek-rystelserne sig igen over verden. Men denne gang udsprang de ikke af et snedigt marketingarrangement. De blev udløst af en presserende advarsel fra leverandøren af sikkerhed til mobilapps, NowSecure.
Flere risici for sikkerhed og privatliv
Den 6. februar offentliggjorde NowSecures forskere resultaterne af en omfattende analyse, der afdækkede flere risici for sikkerhed og privatliv i DeepSeeks iOS-app. Disse sårbarheder omfatter:
- Ukrypteret dataoverførsel: Appen overfører følsomme data over internettet uden kryptering, hvilket gør dem sårbare over for aflytning og manipulation.
- Svage og fast indkodede krypteringsnøgler: Appen bruger forældet Triple DES-kryptering, genbruger initialiseringsvektorer og koder krypteringsnøgler fast ind — alt sammen i strid med etableret bedste praksis for beskyttelse af data.
- Usikker datalagring: Appen gemmer brugernavn, adgangskode og krypteringsnøgler usikkert, hvilket øger risikoen for tyveri af legitimationsoplysninger.
- Omfattende dataindsamling: Appen indsamler bruger- og enhedsdata, som onde aktører kan bruge til sporing og til at genidentificere anonyme data.
- Data sendes til Kina: Appens brugere er måske ikke klar over, at deres data overføres til servere kontrolleret af ByteDance, det kinesiske selskab, der ejer TikTok. Det vækker bekymring om praksis for datastyring under kinesisk jurisdiktion, herunder overvågning uden retskendelse.
- Deaktiverede iOS-privatlivskontroller: Appen omgår Apples sikkerhedsfunktioner og mangler obligatoriske privatlivsmanifester, hvilket øger eksponeringen for sporing og fingerprinting.
Indtil disse sårbarheder er løst, opfordrer NowSecure alle organisationer til straks at forbyde brugen af DeepSeek, som er blevet downloadet millioner af gange siden udgivelsen og i øjeblikket er den 3. mest populære “produktivitets”-app i App Store (efter flere dage som nr. 1). Organisationer bør i stedet finde en alternativ AI-løsning, der tilbyder lignende funktionalitet, men med bedre praksis for sikkerhed, privatliv og datastyring.
NowSecure råder desuden organisationer, der ikke vil eller ikke kan erstatte DeepSeek på nuværende tidspunkt, til at reducere deres risikoeksponering ved at bruge en open source-model med en hostet løsning eller udrulle en selvhostet model.
Android-brugere: pas på
NowSecures stifter, Andrew Hoog, har sagt, at selv om hans forskerteam endnu ikke er færdig med den dybdegående analyse af DeepSeek til Android, mener han, at det grundlæggende design bør være funktionelt magen til iOS-versionen. Hvis det viser sig at holde stik, vil de fleste eller alle de samme sårbarheder være til stede.
Yderligere bekymringer
NowSecure er ikke det eneste selskab, der slår alarm om DeepSeeks sikkerhed:
- Forskere hos Check Point Software fandt, at onde aktører udnytter DeepSeek og Quen (en samling store sprogmodeller udviklet af Alibaba Cloud) til at udvikle ondsindet indhold.
- Forskere hos Cisco fandt, at DeepSeek havde en angrebssuccesrate på 100 %, hvilket betyder, at den ikke blokerede en eneste skadelig prompt.
- Forskere hos Wiz fandt, at en offentligt tilgængelig database tilhørende DeepSeek gav fuld kontrol over databasehandlinger, herunder muligheden for at tilgå interne data, herunder en million linjer logstrømme med yderst følsomme oplysninger.
Selv om disse sårbarheder ikke direkte vedrører DeepSeeks iOS-app, rejser de alligevel nogle foruroligende spørgsmål om selskabets sikkerhedsprofil, politikker og praksis, som skal besvares.
Indsigt og råd fra Devolutions’ operationssikkerhedsspecialist William Matos
Disse fund fra NowSecures forskere er alvorlige og får flere lande og organisationer verden over til at forbyde eller undersøge DeepSeek på grund af de mulige risici for privatliv og sikkerhed.
Hos Devolutions er sikkerhed vores højeste prioritet, og det har den været fra dag ét. Vi går ikke på kompromis og tager ingen genveje, når det gælder beskyttelse af data under overførsel eller i hvile eller beskyttelse af vores brugeres privatliv og fortrolighed. Sagt på en anden måde: Vi tager sikkerhed lige så alvorligt som vores globale brugerfællesskab, hvoraf mange er meget erfarne fagfolk inden for informationssikkerhed.
Nedenfor er en sammenligning af sikkerhedsfunktioner i Devolutions Cloud og DeepSeek til iOS (bemærk: Devolutions Cloud er en cloudbaseret løsning til administration af adgangskoder, og DeepSeek er en AI-drevet chatbot, men overblikket viser tydeligt vores styrkede engagement i sikkerhed og beskyttelse af brugerdata):
-
Krypteringsstyrke Devolutions Cloud: AES-256 og TLS 1.2/1.3 til databeskyttelse DeepSeek til iOS: Svag kryptering (3DES, fast indkodede nøgler)
-
Sikkerhed ved dataoverførsel Devolutions Cloud: Fuldt krypteret ende til ende DeepSeek til iOS: Ukrypterede data overført over internettet
-
Cloudinfrastruktur Devolutions Cloud: Hostet på sikre og compliant cloudplatforme (ISO 27001, SOC2) DeepSeek til iOS: Sender data til Volcano Engine (ByteDance-servere)
-
Nulvidensarkitektur Devolutions Cloud: Ingen (heller ikke Devolutions) kan tilgå gemte adgangskoder DeepSeek til iOS: Indsamler bruger- og enhedsdata uden samtykke
-
Compliance og privatliv Devolutions Cloud: Compliant med GDPR, SOC 2 og ISO 27001 DeepSeek til iOS: Omgår Apples sikkerhed (ATS) og bryder bedste praksis
-
Dataejerskab og kontrol Devolutions Cloud: Brugerstyret, alle data tilhører organisationen DeepSeek til iOS: Data gemt på eksterne servere, uden for brugerens kontrol
Derudover arbejder Devolutions ikke efter “sikkerhed gennem uklarhed”. Gennemsigtighed er en af vores virksomheds mest grundlæggende værdier og viser sig på flere måder, for eksempel:
- Vores kryptografibibliotek er open source og tilgængeligt online på Github til offentlig granskning.
- Vi udgiver regelmæssigt tredjepartsrapporter om sikkerhed og certificeringer som ISO/IEC 27001 og SOC2 i afsnittet Sikkerhed og overholdelse på vores website.
- Vi lister sikkerhedsmeddelelser for alle kendte sikkerhedssårbarheder på vores website. Hver meddelelse omfatter afhjælpning og alternative løsninger, en alvorlighedsscore efter Common Vulnerability Scoring System (CVSS) og et Common Vulnerabilities and Exposures-nummer (CVE). Brugere kan også abonnere for at modtage de seneste sikkerhedsmeddelelser på e-mail.
- Vi driver et bug bounty-program, der opfordrer og belønner forskere, som forsøger at “angribe og bryde” vores produkter, så vi proaktivt kan udbedre sårbarheder og rette kode- og programmeringsfejl.
- Alle nuværende og kommende brugere inviteres til at kontakte os med sikkerhedsrelaterede spørgsmål om vores løsninger eller om vores organisations politikker og praksis.
Blikket fremad
På få uger har DeepSeek ændret og accelereret AI-kapløbet dramatisk. Potentialet og løftet i AI-drevne chatbots — som omfatter, men bestemt ikke er begrænset til, DeepSeek — kan dog kun indfries fuldt ud, når de er grundlæggende forankret i robust sikkerhed. Det er derfor op til leverandører, regeringer og medlemmer af det globale sikkerhedsfællesskab (et godt eksempel er det fremragende arbejde fra NowSecures forskere i denne sag) at sikre, at høje sikkerhedsstandarder overholdes konsekvent.
I sidste ende må vi ikke tabe den sandhed af syne, at et produkt, der ved design eller forsømmelse sætter brugerdata på spil og underminerer deres tillid og tiltro — uanset om det hyldes som “banebrydende”, “som ændrer spillereglerne”, “transformativt” eller noget andet ophøjet og spændende — ikke (endnu) er en gavnlig løsning at tage i brug. Det er et alvorligt problem, der skal rettes.
Del dine tanker
Vi inviterer dig til at dele dine tanker, erfaringer og forudsigelser om DeepSeek eller enhver anden AI-drevet chatbot. Skriv gerne en kommentar nedenfor.