DeepSeek превратился в мощное и популярное приложение генеративного ИИ, стимулирующее инновации, а также поднимающее вопросы безопасности и конфиденциальности. В этой статье рассматриваются связанные с ним риски безопасности, влияние на предприятия и стратегий организации могут принять меры для минимизации угроз и обеспечения безопасного, продуктивного и ответственного использования.
Что такое DeepSeek и почему он вызывает опасения по поводу безопасности?
DeepSeek — популярное приложение GenAI и LLM, запущенное в январе 2025 года китайской компанией, которая также известна под названием DeepSeek. (В отличие от приложения ChatGPT, выпущенного компанией OpenAI). Подобно ChatGPT, приложение DeepSeek GenAI работает как чат-бот и предлагает вывод контента пользователям, которые задают ему вопросы на естественном языке.
DeepSeek привлек значительное внимание общественности, поскольку он достиг передовых технологических возможностей, аналогичных тем, которые предлагают ChatGPT, Gemini, Claude и другие популярные приложения GenAI. Однако он сделал это при значительно меньших затратах на обучение и используя примерно одну десятую вычислительной мощности. Это существенно нарушает конкурентный ландшафт GenAI и имеет также макрополитические последствия.
Также подобно другим приложениям GenAI, DeepSeek создает риски безопасности в организациях. Это включает необходимость гарантировать, что сотрудники не раскрывают конфиденциальные данные, гарантировать, что выходные данные DeepSeek (например, фрагменты кода) не содержат уязвимостей или вредоносного ПО, и безопасную реализацию при локальном развертывании модели.
Кроме того, политика «открытого веса» DeepSeek (в отличие от политики «открытого исходного кода», с которой DeepSeek часто путают) означает, что организациям необходимо гарантировать, что любое развернутое использование параметров в их средах также является безопасным.
В этой статье мы сосредоточимся на основных рисках, с которыми сталкивается предприятие, связанных с безопасностью данных и непреднамеренным нежелательным раскрытием конфиденциальных данных в приложении DeepSeel.
Основные риски конфиденциальности и безопасности DeepSeek
DeepSeek, как и многие другие модели GenAI, представляет собой существенные проблемы безопасности и конфиденциальности для предприятий. Хотя его технологическая природа способствует инновациям и доступности, он также вносит существенные риски при внедрении в конфиденциальную информацию. Ниже мы рассмотрим основные уязвимости и риски конфиденциальности DeepSeek и их влияние на предприятия.
1. Утечка данных
Когда сотрудники вставляют или вводят корпоративные данные в DeepSeek, они могут непреднамеренно привести к раскрытию конфиденциальных корпоративных данных. Если DeepSeek обучен или настроен на запросы пользователей, то эти данные могут быть встроены в модель и непреднамеренно раскрыты в будущих выходных данных.
Это означает, что конфиденциальные данные, переданные в DeepSeek (например, конфиденциальные бизнес-стратегии, записи о клиентах, исходный код или информация о клиентах), могут стать доступными для извлечения нежелательными лицами, будь то конкуренты или противники.
2. Отсутствие соответствия и управления
DeepSeek, как и другие генеративные приложения ИИ, не имеет встроенных средств контроля соответствия. Это усложняет для предприятий задачу согласования его использования с нормативными рамками, такими как GDPR, CCPA, HIPAA и SOC 2. Пользователи не знают, какие данные хранятся, как долго, при каких обстоятельствах и для каких целей.
Это означает, что предоставление регулируемых данных DeepSeek может привести к их хранению на нерегулируемых международных серверах, их использованию в несанкционированных целях и передаче запрещенным лицам.
3. Вредоносные расширения браузера
Некоторые реализации DeepSeek, например вредоносный DeepSeek расширение браузера, может неосознанно собирать, хранить или передавать информацию браузера без адекватных мер безопасности. Известно, что вредоносные расширения браузера используют чрезмерные разрешения для сбора учетных данных, перехвата сеансов и сбора данных. Они могут использоваться для закрепления в браузере (и, следовательно, в корпоративных сетях), фишинговых атак или извлечения конфиденциальной информации.
4. Теневой ИИ
Если сотрудники используют DeepSeek без надзора со стороны ИТ, ИТ не может управлять и контролировать использование. Это фрагментирует управление ИТ, то есть ИТ не может решать проблемы безопасности, соответствия требованиям и раскрытия данных, обсуждавшиеся выше. Они не могут внедрять политики, обучать сотрудников или вводить средства контроля безопасности просто потому, что не знают о риске. Это еще больше увеличивает опасность, делая организацию крайне уязвимой.
Влияние рисков безопасности DeepSeek на предприятия
Как вышеупомянутые риски влияют на безопасность корпоративного ИИ?
Конфиденциальная информация раскрыта
Утечка данных конфиденциальных документов, кодовых баз или стратегических планов, которая попадает в модель или непреднамеренно раскрывается через сгенерированные ИИ результаты, означает, что конкуренты или злоумышленники могут получить доступ к критически важной деловой информации. Это может иметь существенные правовые и деловые последствия.
Потенциальное воздействие на предприятия
- Потеря конкурентного преимущества из-за раскрытия уникальных бизнес-стратегий, алгоритмов или чертежей продуктов.
- Злоумышленники, использующие вирусы-вымогатели, угрожают поделиться конфиденциальными данными
- Иски от клиентов, чья личная информация была раскрыта
Нормативные штрафы и правовые последствия
Отсутствие контроля над тем, какие данные передаются в DeepSeek, а также как эти данные хранятся и обрабатываются, затрудняет для предприятий соблюдение законов о защите данных, таких как GDPR, CCPA, HIPAA, а также отраслевых норм (например, SOX, PCI DSS, NIST 800-53).
Потенциальное влияние рисков, связанных с соблюдением требований, на предприятия
- Нарушение конфиденциальности
- Ошибки аудита
- Штрафы
- Юридические последствия
Угрозы оперативной безопасности
Если злоумышленники используют вредоносные расширения для браузера, они могут получить доступ к внутренним системам и продвигаться по сети, что является уязвимостью кибербезопасности DeepSeek.
Потенциальное воздействие на предприятия
- Захват аккаунта
- Фишинг-атаки
- Ransomware
- Эксфильтрация данных
- Эксплуатационное отключение
Как предприятия могут обеспечить безопасность внедрений ИИ, таких как DeepSeek
Поскольку сотрудники интегрируют в свои рабочие процессы модели искусственного интеллекта поколения, такие как DeepSeek, обеспечение безопасности их использования становится приоритетом. Ниже приведены основные рекомендации по упреждающей защите внедрений корпоративного искусственного интеллекта.
- Составьте карту данных, которыми вы можете поделиться с Gen AI – Классифицируйте организационные данные на основе уровней конфиденциальности. Определите, какие данные являются конфиденциальными, персональными или регулируемыми и никогда не должны быть раскрыты. Внедрение инструментов GenAI DLP может помочь снизить риски случайных утечек данных.
- Обучите сотрудников рискам, связанным с ИИ-технологиями. Сотрудники должны понимать, что генеративные инструменты ИИ, хотя и мощные, могут привнести такие риски, как утечка данных, предвзятые результаты и нарушения соответствия. Регулярные обучающие сессии могут охватывать темы, связанные с использованием ИИ, распространенные векторы атак и реальные примеры ненадлежащего использования ИИ. Ваш инструмент безопасности данных может помочь в этом, предупреждая и уведомляя сотрудников о рискованном использовании.
- Мониторинг использования Gen AI в браузере – Поскольку доступ к DeepSeek осуществляется через веб-приложения, организациям следует развернуть решения по безопасности браузера для отслеживания этих взаимодействий. Это помогает выявлять и предотвращать потенциальное раскрытие данных, вредоносные расширения браузера и необычные модели поведения.
- Мониторинг расширений браузера Gen AI – Организации должны вести список разрешенных расширений, проводить периодические проверки безопасности и использовать инструменты безопасности браузера для обнаружения подозрительной активности. Отключение неутвержденных расширений на уровне предприятия может предотвратить несанкционированный доступ к данным.
- Обеспечить использование корпоративных учетных записей для доступа к Gen AI – Требование к сотрудникам использовать корпоративные учетные записи для служб GenAI помогает предотвратить использование теневого ИИ, обеспечивая лучший надзор за безопасностью, возможность аудита и применение политик. Это также помогает предотвратить кражу учетных данных, которая может быть использована для эксфильтрации сети. Инструмент безопасности браузера может отслеживать действия DeepSeek независимо от учетной записи, используемой для входа, личной или частной.
Как обеспечить безопасность использования DeepSeek
LayerX Security предлагает комплексную безагентную платформу безопасности браузера, которая защищает предприятия от самых критических рисков и угроз современного Интернета, включая утечку данных GenAI, риски SaaS, угрозы идентификации, веб-уязвимости, DLP и многое другое.
LayerX развертывается как расширение корпоративного браузера, которое интегрируется с любым браузером и обеспечивает организациям полную видимость и контроль последней мили, не нарушая работу пользователей.
Предприятия используют LayerX для сопоставления использования GenAI в организации, обнаружения «теневых» приложений ИИ и ограничения обмена конфиденциальными данными с LLM.
