Çin merkezli yapay zeka girişimi DeepSeek, milyonlarca kullanıcıya hizmet veren sohbet geçmişleri, API (uygulama programlama arayüzü) kimlik doğrulama anahtarları ve sistem günlüklerini içeren kritik bir veritabanını internete korumasız şekilde açığa çıkardı. Güvenlik araştırmacılarının raporlarına göre, veritabanı parola koruması olmadan erişime açık bırakılmıştı ve herhangi bir kimlik doğrulama süreci gerektirmiyordu. Bu durum, kötü niyetli kişilerin sisteme tam erişim sağlamasına ve potansiyel olarak DeepSeek’in dahili operasyonlarını tehlikeye atmasına neden olabilirdi.
Güvenlik açığını keşfeden bulut güvenliği firması Wiz, veritabanının halka açık olduğunu tespit ettikten sonra DeepSeek’i bilgilendirdi. Şirket, bu ihbarın ardından hızlıca harekete geçerek ilgili sistemleri çevrimdışı duruma getirdi. Ancak, sızıntının ne kadar süredir devam ettiği ve başka kimlerin bu verilere erişmiş olabileceği hâlâ bilinmiyor.
Bir Milyondan Fazla Hassas Kayıt Açığa Çıktı
Söz konusu güvenlik açığı, ClickHouse adlı açık kaynaklı bir veri yönetim sistemi üzerinden çalıştırılan bir veritabanında ortaya çıktı. Wiz’in analizlerine göre, 1 milyondan fazla günlük kaydı, kullanıcıların sohbet geçmişleri, sistem etkinlikleri ve API anahtarlarıyla birlikte sızdırıldı. Bu, hem kullanıcı gizliliğini tehlikeye atan bir durum hem de DeepSeek’in iç operasyonlarının doğrudan hedef alınabileceği ciddi bir güvenlik riski anlamına geliyor.
Özellikle API anahtarlarının açığa çıkması, kötü niyetli kişilere DeepSeek’in sistemlerinde ayrıcalıklı erişim kazanma imkanı tanıyabilirdi. Yetkisiz erişim, sistemde değişiklik yapmaktan kullanıcı verilerini manipüle etmeye kadar birçok tehdide kapı aralayabilir.
Wiz araştırmacıları, bu kadar büyük bir güvenlik açığının genellikle kötü niyetli bir saldırıdan ziyade insan hatası sonucu ortaya çıktığını belirtiyor. Ancak, bu durum DeepSeek’in siber güvenlik standartları ve veri koruma önlemleri konusunda ciddi eksiklikleri olduğunu gösteriyor.
OpenAI ile Olası Bağlantılar ve Suçlamalar
Bu olay, DeepSeek’in güvenlik zafiyetleriyle ilgili ilk tartışma değil. Aynı hafta içerisinde, OpenAI’nin DeepSeek’i kendi yapay zeka modellerini eğitmek için verilerini kullanmakla suçladığı iddia edildi. İlginç bir şekilde, Wiz araştırmacıları DeepSeek’in OpenAI’nin sistemleriyle benzer bir mimari yapıya sahip olduğunu ve API anahtarlarının formatına kadar OpenAI’nin altyapısını andırdığını belirtti.
Bu benzerlikler, DeepSeek’in OpenAI’nin teknolojisini taklit edip etmediği ve şirketin verileri etik dışı yollarla kullanıp kullanmadığı konusunda soru işaretleri doğurdu. OpenAI’den henüz resmi bir açıklama gelmese de, bu gelişmeler DeepSeek’in hem güvenlik açıkları hem de etik standartlar açısından ciddi bir inceleme altına alınabileceğini gösteriyor.
DeepSeek İçin Kriz ve Güven Kaybı Riski
DeepSeek, Aralık ayında halka açık lansmanını gerçekleştirdiğinden bu yana hızla popülerlik kazanan bir yapay zeka girişimi olarak dikkat çekiyor. Ancak bu son veri ihlali, kullanıcı güvenliği konusundaki zayıf noktaları ve şirketin veri yönetimi konusundaki ihmalkarlığını gözler önüne serdi.
Şirketin, güvenlik ihlalinin sonuçları ve kullanıcı verilerinin güvenliğini nasıl sağladığı konusunda resmi bir açıklama yapmaması, şeffaflık konusundaki eleştirileri artırıyor. DeepSeek’in müşteri güvenini yeniden kazanabilmesi için:
- Bağımsız bir siber güvenlik denetimi gerçekleştirmesi,
- Veri koruma protokollerini güçlendirmesi,
- Gelecekte benzer hataların önlenmesi için kapsamlı bir güvenlik politikası uygulaması gerekiyor.
Yapay Zeka Sektöründe Veri Güvenliği Alarm Veriyor
DeepSeek’in yaşadığı güvenlik açığı, sadece bu şirkete özgü bir sorun değil. Yapay zeka ve büyük veri yönetimi alanında faaliyet gösteren şirketlerin, kullanıcı gizliliği ve sistem güvenliği konusunda daha sıkı önlemler alması gerektiğini bir kez daha kanıtlıyor.
Veri güvenliği ihlalleri, şirketlerin sadece finansal ve yasal sonuçlarla karşılaşmasına neden olmakla kalmaz, aynı zamanda itibarlarını da zedeler. DeepSeek’in yaşadığı bu olay, yapay zeka sektöründe daha güçlü veri koruma politikalarının hayata geçirilmesi gerektiğine dair bir uyarı niteliğinde.
Bu sızıntının uzun vadeli etkileri ve OpenAI ile olan tartışmaların nasıl bir noktaya varacağı önümüzdeki süreçte netleşecek. Ancak kesin olan bir şey var: Yapay zeka şirketleri, veri güvenliği konusunu göz ardı edemez.