ฐานข้อมูล ‘DeepSeek’ รั่วไหล

เมื่อไม่นานมานี้ ทุกท่านคงได้ข่าวการเปิดตัวอย่างยิ่งใหญ่ของ DeepSeek แชทบอท AI ตัวใหม่ของจีน ที่เคลมว่า มีความสามารถใกล้เคียงกับ Chat GPT แต่มีต้นทุนที่ถูกกว่าหลายเท่าเลยทีเดียว

แต่ DeepSeek กลับต้องเผชิญกลับปัญหาใหญ่ที่ท้าทายอย่างมาก เมื่อผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์จากต่างประเทศได้ตรวจพบช่องโหว่ด้านความปลอดภัยบนโครงสร้างพื้นฐานที่เกี่ยวข้องกับฐานข้อมูล AI ของ DeepSeek

ซึ่งอาจส่งผลทำให้เกิดการรั่วไหลข้อมูลอินพุตที่มีความละเอียดอ่อนจำนวนมาก อย่างเช่น ประวัติการแชท คีย์ API และรายละเอียดของแบ็กเอนด์

หากลงในรายละเอียดจะพบว่า ฐานข้อมูล DeepSeek ที่ถูกเปิดเผยคือการตั้งค่า ClickHouse โดย ClickHouse เป็นระบบจัดการฐานข้อมูลแบบคอลัมน์ที่ออกแบบมาสำหรับใช้ประมวลผลในการการวิเคราะห์ออนไลน์ (OLAP) เมื่อต้องจัดการกับข้อมูลปริมาณมากๆ

นอกจากนี้ มีการวิเคราะห์ของผู้เชี่ยวชาญเกี่ยวกับมาตรการรักษาความปลอดภัยภายนอกของบริษัทสตาร์ทอัพจีน และค้นหาช่องโหว่ที่อาจเกิดขึ้นได้ ซึ่งมีการระบุว่า ClickHouse ใช้อินเทอร์เฟซ HTTP ทำให้ผู้เชี่ยวชาญสามารถเข้าถึง /play path ซึ่งอนุญาตให้จัดการคำสั่ง SQL ที่กำหนดเองได้ โดยตรงผ่านเว็บเบราว์เซอร์

เพราะฐานข้อมูล ClickHouse สามารถเปิดให้เข้าถึงได้แบบสาธารณะและไม่ต้องได้รับการรับรองความถูกต้องก่อนเข้าระบบก่อน โดยมีโฮสต์อยู่ที่ oauth2callback.deepseek.com:9000 และ dev.deepseek.com:9000 แต่ตามหลักความเป็นจริงนั้น ฐานข้อมูล ClickHouse ควรเข้าถึงได้เฉพาะผู้ที่เกี่ยวข้องภายในบริษัทที่ใช้งานเท่านั้น

จากช่องโหว่ของข้อมูลเหล่านี้เอง อาจส่งผลให้แฮกเกอร์สามารถเข้าถึงระบบเพื่อควบคุมฐานข้อมูลได้อย่างสมบูรณ์ และอาจมีการเพิ่มสิทธิ์ภายในสภาพแวดล้อมของ DeepSeek หรือจัดการระบบ 

ไม่ว่าจะเป็น การดึงบันทึกที่ละเอียดอ่อนและข้อความแชทต่างๆ และยังสามารถขโมยรหัสผ่านและไฟล์ในเครื่องพร้อมข้อมูลได้โดยตรงจากเซิร์ฟเวอร์โดยใช้คำสั่งเช่น: SELECT * FROM file(filename) ขึ้นอยู่กับการกำหนดค่าของ ClickHouse โดยไม่ต้องมีกลไกการตรวจสอบสิทธิ์หรือการป้องกันใดๆ เพื่อป้องกันการเข้าถึงจากภายนอก

อย่างไรก็ตาม ทีมผู้เชี่ยวชาญก็ได้หยุดดำเนินการค้นหาที่จะเป็นการล่วงล้ำระบบ และได้สรุปรายงานข้อกังวลเกี่ยวกับความเป็นส่วนตัวของข้อมูลที่เกี่ยวข้องกับ LLM ของ DeepSeek

โดยเน้นว่า แม้ว่าความปลอดภัยของ AI จะมุ่งเน้นไปที่ภัยคุกคามในอนาคต แต่ก็ไม่ควรมองข้ามอันตรายในปัจจุบัน เพราะสิ่งเหล่านี้มักเกิดจากความเสี่ยงพื้นฐาน เช่น การเปิดเผยฐานข้อมูลภายนอกโดยไม่ได้ตั้งใจ

เราจะเห็นได้ว่า ทุกๆ ช่องโหว่ที่เกิดขึ้นหากเรามองข้ามไป สิ่งเหล่านี้อาจนำมาสู่ความเสี่ยงจากภัยคุกคามต่างๆ และแน่นอนว่าเราจะไม่สามารถหลีกเลี่ยงความเสียหายที่เกิดขึ้นได้ครับ

สามารถติดตามบทความจาก CEO ผ่านทางบทความ Think Secure โดย คุณนักรบ เนียมนามธรรม (นักรบ มือปราบไวรัส) เป็นประจำทุกสัปดาห์ ได้ทางหนังสือพิมพ์กรุงเทพธุรกิจ หรือช่องทาง Online ที่ https://www.bangkokbiznews.com/category/tech/gadget        

ที่มา: หนังสือพิมพ์กรุงเทพธุรกิจ (ฉบับวันที่ 24 มีนาคม 2568)
https://www.bangkokbiznews.com/blogs/tech/gadget/1172497