DeepSeek, кажется, решето

0

2

Эксперты американского IT-стартапа Wiz, специализирующегося на решениях в области облачной безопасности, проанализировали китайскую платформу DeepSeek на уязвимости. В итоге они наткнулись на открытую базу данных с 976 тысячами строк логов, включающую конфиденциальную информацию пользователей — как оказалось, она была просто оставлена «без присмотра».

В ходе тестирования платформы эксперты наткнулись на два открытых порта (8123 и 9000), ведущих к базе данных, даже не защищённой паролем: к ней можно было обращаться с помощью текстовых команд. После нескольких запросов специалистам удалось извлечь из неё журнал log_stream, содержащий 976 тысяч строк. Самые интересные поля выглядят так:

    * timestamp — логи с 6 января 2025 года, включающие время сеансов работы;
    * string.values — текстовые журналы с историей чатов, ключами API, сведениями о серверной части и метаданными;
    * _source — информация о происхождении запросов журнала, содержащая историю чатов, ключи API, структуры каталогов и журналы метаданных чат-бота.

По словам экспертов, используя найденную «дыру», злоумышленники могли получить конфиденциальные данные пользователей, включая их сообщения в чате в формате обычного текста, а также похитить пароли и локальные файлы с серверов компании. При этом они не уточнили, связаны ли обнаруженные данные с аккаунтами пользователей, или обезличены.

На момент написания новости уязвимость уже была устранена, однако официального заявления на этот счёт от разработчиков DeepSeek так и не последовало.

Источник

Оригинальный источник

Ссылка

←	Костыли и подпорки. Везде костыли. Даже на швейцарской ж/д.

А посоветуйте дефолтную коробочку bluetooth -> jack 3.5

→

Быстро поднятое не считается упавшим.

Irma ★★
(30.01.25 16:04:03 MSK)

https://www.opennet.ru/opennews/art.shtml?num=62639

dataman ★★★★★
(30.01.25 16:04:24 MSK)

Ответ на: комментарий от dataman 30.01.25 16:04:24 MSK

Ну мы ж не опеннет, надо и тут вбросить :) А то все жалуются, что ЛОР протух и поговорить не о чем.

Zhbert ★★★★★
(30.01.25 16:05:45 MSK) автор топика

Ссылка

Ответ на: комментарий от Irma 30.01.25 16:04:03 MSK

Девопс из тебя так себе :)

Zhbert ★★★★★
(30.01.25 16:05:59 MSK) автор топика

Интересно, сколько «технологических отверстий» нашлось бы, если бы теми же средствами был проанализирован, допустим, ChatGPT.

CrX ★★★★★
(30.01.25 16:06:51 MSK)

Ссылка

Ответ на: комментарий от Irma 30.01.25 16:04:03 MSK

Быстро заткнутое не считается дырявым. Но осадочек остаётся, да.

dataman ★★★★★
(30.01.25 16:08:29 MSK)
Последнее исправление: dataman 30.01.25 16:09:46 MSK (всего исправлений: 1)

Ссылка

Мануал по запуску полной модели DeepSeek-R1 локально (бюджет ~6k$)
habr.com/ru/articles/877832/

Bad_ptr ★★★★★
(30.01.25 16:09:12 MSK)

Ответ на: комментарий от Bad_ptr 30.01.25 16:09:12 MSK

Если всё, что ему надо - процы 2 шт, 1 Тб диска и 768 Гб памяти, то можно до 300 баксов уложиться, просто железо будет постарше.

Вот AlphaFold 3 хотя б чисто по размеру хранилища имеет требования гораааааздо больше, собака…

Dorif ★★★
(30.01.25 16:13:33 MSK)

Ответ на: комментарий от Dorif 30.01.25 16:13:33 MSK

Там основное требование как я понял — пропускная способность памяти. Т.е. для приемлемой скорости нужна многоканальная работа с памятью и ДДР5
так что если будет другой проц и память — может быть очень медленно

Bad_ptr ★★★★★
(30.01.25 16:17:34 MSK)

Ссылка

Ответ на: комментарий от Dorif 30.01.25 16:13:33 MSK

просто железо будет постарше

Не взлетит, наверное. Там требования к скоростям еще есть.

Zhbert ★★★★★
(30.01.25 16:18:29 MSK) автор топика

Ссылка

Ну теперь её топить будут всеми силами, а потом правительство США обвинит DeepSeek в угрозе национальной безопасности и наложат большую кучу санкций.

unixnik ★★★★★
(30.01.25 16:27:10 MSK)

Ответ на: комментарий от Irma 30.01.25 16:04:03 MSK

Быстро поднятое не считается упавшим.

А быстро зашитое – продырявленным? 🤔

frunobulax ★★★
(30.01.25 16:31:15 MSK)

Ответ на: комментарий от unixnik 30.01.25 16:27:10 MSK

и наложат большую кучу

с этим они уже справились

olelookoe ★★★
(30.01.25 16:36:29 MSK)

Ссылка

Ответ на: комментарий от frunobulax 30.01.25 16:31:15 MSK

Дык. Гименопластика называется.

Irma ★★
(30.01.25 16:44:59 MSK)

Ссылка

Ответ на: комментарий от unixnik 30.01.25 16:27:10 MSK

Так и запишем: и наложат большую кучу.

Dorif ★★★
(30.01.25 17:09:48 MSK)

Ссылка

Щота ржачьна. 😁

sparkie ★★★★★
(30.01.25 17:52:32 MSK)

Ссылка

...наткнулись на два открытых порта (8123 и 9000), ведущих к базе данных...

Тю ё! Это ж первая заповедь админа БД — перекрывать порты. Припоминаю, как я админил одну отраслевую базу, так до конфликтов с пользователем доходило. Я ей, главное, объясняю, что не могу дать полный доступ, ибо потом мне отвечать в случае чего, а она не слушает. «Дай!» - и всё. Потом я понял, что цель была такая — чтобы я задолбался.

sparkie ★★★★★
(30.01.25 18:27:05 MSK)

Ответ на: комментарий от Zhbert 30.01.25 16:05:59 MSK

как раз нормальный девопсячий подход. Fail fast :)

leave ★★★★★
(31.01.25 16:25:44 MSK)

Ссылка

Ответ на: комментарий от sparkie 30.01.25 18:27:05 MSK

Так там фаундер компании принципиально не нанимает толковых инженеров, предпочитает вчерашних студентов с глазами горящими. Нейронки они, может, делать и умеют, а вот админить не могут вообще.

leave ★★★★★
(31.01.25 16:27:25 MSK)

Ответ на: комментарий от Irma 30.01.25 16:04:03 MSK

один раз - не водолаз.

alysnix ★★★
(31.01.25 16:34:01 MSK)

Ссылка

Ответ на: комментарий от leave 31.01.25 16:27:25 MSK

Если человек умеет в нейронки, то он уже толковый инженер, нет?

sparkie ★★★★★
(31.01.25 16:44:26 MSK)

конфиденциальные - это ойпи, который без других данных даже к персональным не относится.это влажная история, которую лишь скриншотом подтвердили. у кликхауса действительно может быть пустой пароль… я раз базу redis без пароля нашел, там были данные от апишки банка…

rtxtxtrx ★★
(31.01.25 16:49:21 MSK)

Ссылка

Ответ на: комментарий от leave 31.01.25 16:27:25 MSK

тренеры покемонов, они же нейронщики - это не инженеры как и программисты ими не являются. за инцидент ответственен только девжопс, который представляет собой часто бездарность с раздутым чсв, которая не может написать и цикла

rtxtxtrx ★★
(31.01.25 16:52:18 MSK)

Ссылка

Ответ на: комментарий от sparkie 31.01.25 16:44:26 MSK

Если человек умеет в нейронки, то он уже толковый инженер, нет?

Толковый инженер не обязан знать технические регламенты в области, где раньше не работал. В лучшем случае изучит, когда ему о них скажут, или сам случайно узнает.

question4 ★★★★★
(31.01.25 17:39:13 MSK)