L'Italie et l'Irlande interdisent DeepSeek sur les appareils Apple et Google

DeepSeek, le chatbot chinois controversé basé sur l'intelligence artificielle, n'est plus disponible au téléchargement en Italie et en Irlande. Les deux pays ont retiré l'application des plateformes Apple et Google le 29 janvier, accusant l'entreprise d'éluder les questions relatives à la gestion des données personnelles et d'alimenter les craintes d'un accès du gouvernement chinois aux informations des utilisateurs.

Les autorités de régulation font pression sur l'entreprise pour obtenir des explications, et elles ne font pas dans la dentelle. En Italie, les utilisateurs qui tentaient de télécharger le chatbot recevaient des messages du type : « Actuellement indisponible dans votre pays ou région » sur les appareils Apple.

Les utilisateurs de Google ont également reçu un message clair indiquant que le téléchargement n'était pas pris en charge. Une enquête de Reuters a confirmé que DeepSeek avait disparu du Google Play Store. Cependant, au moins un utilisateur d'Apple y avait encore accès, selon un article du Guardian daté du 29 janvier.

La disparition de DeepSeek survient peu après son ascension fulgurante en tant qu'application gratuite la plus téléchargée sur l'App Store d'Apple aux États-Unis et au Royaume-Uni. Lancée la semaine précédente, elle offrait des performances d'IA comparables à celles de ChatGPT, pour un prix bien inférieur. Sa croissance rapide a provoqué la panique, faisant chuter la bourse américaine de plus de 1 000 milliards de dollars en une seule journée.

Les autorités réglementaires exigent des réponses concernant le stockage et l'accès aux données

L'autorité italienne de protection des données, Garante, a donné 20 jours à DeepSeek pour expliquer quelles données personnelles elle collecte, où elles sont stockées et si certaines d'entre elles sont transférées en Chine. « Notre bureau va mener une enquête approfondie afin de vérifier le respect du RGPD », a déclaré Pasquale Stanzione, directeur de l'agence, à l'agence de presse italienne ANSA le 29 janvier.

Garante exige des précisions : quelles données sont collectées, sur quelle base légale et quelles mesures sont prises pour protéger les utilisateurs ? Faute de coopération, l’Italie pourrait infliger de lourdes sanctions à l’entreprise en vertu du Règlement général sur la protection des données (RGPD) européen.

La Commission irlandaise de protection des données a également ouvert sa propre enquête. Selon le Guardian, elle a demandé un compte rendu détaillé de la manière dont DeepSeek traite les données relatives aux citoyens irlandais.

L'enquête porterait notamment sur la question de savoir si les informations des utilisateurs sont mal gérées ou expédiées en Chine sans mesures de protection adéquates.

Les inquiétudes concernant la protection de la vie privée se sont accrues depuis qu'il a été révélé que la politique de confidentialité de DeepSeek stipule ouvertement que les données des utilisateurs sont stockées sur des « serveurs sécurisés situés en République populaire de Chine ». Le gouvernement britannique, quant à lui, a adopté une approche plus laxiste.

Les autorités britanniques ont indiqué qu'il appartenait aux citoyens de décider d'utiliser ou non l'application. Elles ont toutefois promis d'intervenir rapidement en cas de risques graves pour la sécurité.

La loi chinoise sur le renseignement national ne fait qu'attiser les craintes. En vertu de cette loi, toutes les entreprises, organisations et citoyens chinois sont tenus de collaborer avec les services de renseignement. Les critiques estiment que cela pourrait contraindre DeepSeek à transmettre des données sensibles d'utilisateurs sans préavis.

Wiz Research découvre que la base de données de DeepSeek est entièrement compromise

Alors que les autorités de régulation se concentrent sur les violations de la vie privée, les chercheurs en sécurité ont découvert un autre cauchemar pour DeepSeek : une base de données exposée qui laisse les données des utilisateurs accessibles à tous sur Internet.

Wiz Research a analysé l'infrastructure numérique de DeepSeek et affirme avoir découvert une base de données ClickHouse accessible publiquement. Cette base de données ne comportait ni mot de passe, ni système d'authentification, ni aucune protection. 

« En quelques minutes, nous avons eu un accès complet à des informations sensibles », a déclaré l'équipe Wiz. La base de données était hébergée sur oauth2callback.deepseek.com:9000 et dev.deepseek.com:9000, toutes deux directement connectées aux systèmes centraux de DeepSeek.

ClickHouse est conçu pour le traitement de données à haute vitesse et est couramment utilisé pour stocker les journaux, l'historique des conversations et les détails opérationnels du système. Or, selon le rapport de Wiz, son absence de protection a engendré une faille de sécurité majeure.

Quelles données Wiz a-t-il trouvées ? Une quantité impressionnante. La base de données contenait l’historique des conversations, des secrets d’API, des données d’opérations backend et des flux de logs sensibles. Une simple commande SHOW TABLES via l’interface web a tout révélé.

Pire encore, la base de données exposée n'était pas uniquement accessible via la navigation web standard. Les chercheurs de Wiz ont découvert la vulnérabilité en analysant les ports HTTP non standard (8123 et 9000) que DeepSeek avait laissés ouverts. Cette erreur a permis à l'équipe d'accéder à la base de données via le navigateur en toute simplicité.

Comme si DeepSeek n'avait pas déjà assez à faire, OpenAI l'accuse de vol. Le géant américain de l'IA affirme détenir des preuves que DeepSeek aurait pu s'approprier sa technologie par une méthode appelée distillation. La distillation consiste à prendre un modèle d'IA complexe et volumineux et à le réduire à une version plus petite et plus efficace.

« Nous savons que des groupes en Chine travaillent à reproduire nos modèles par distillation », a déclaré OpenAI. « Nous prenons des contre-mesures énergiques et collaborons étroitement avec le gouvernement américain pour protéger notre technologie. »