研究人員發現DeepSeek iOS App多項漏洞，還將資料傳送到中國

DeepSeek以低成本達到近OpenAI o1-preview的高效能爆紅，但安全性成為關注焦點。資安廠商發現DeepSeek iOS App有使用過時加密技術、明碼傳送資料、以及將部份用戶資料送到中國等安全與隱私風險。

資安廠商NowSecure針對DeepSeek iOS App進行完整的安全與隱私評估，發現多項重大漏洞，可能危及個人、企業和政府。研究小組發現的主要風險涉及資料蒐集和處理方式、資料加密、資料儲存等面向。

首先，DeepSeek iOS App在未加密情形下網路連線上傳送部份應用程式註冊和裝置資料，令攻擊者得以監控所有流量和使用者資訊。雖蘋果有內建ATS（App Transport Security）協定讓用戶能加密線上傳送的資料，但DeepSeek App全球都關閉了本項加密選擇。另外，具權限的攻擊者還可能以中間人攻擊（man-in-the-middle，MiTM）手法截聽和修改傳送的資料，危及App和資料。

DeepSeek iOS App儲存了10種用戶和裝置資料，包括連線方式、裝置機種、裝置名稱和行動裝置國家代碼（Mobile Country Code，MCC/ MNC），結合資料處理方式就相當令人擔憂。

在資料處理方式中，最值得注意的是，DeepSeek iOS App蒐集部分資料傳送到Volcengine，後者是TikTok母公司字節跳動（ByteDance）2021年推出的雲端平臺。字節跳動作為一家中國公司，對西方國家來說可能有資安疑慮，也是川普亟欲促成美國公司收購TikTok的主因。此外，這App整合Intercom iOS SDK，可在二個平臺間交換資料，可能經由數種資料合併導致去匿名化（de-anonymization）。

其他隱憂方面，加密上，研究人員發現DeepSeek iOS App加密實作不夠完整。缺點包括使用過時的對稱式加密演算法3DES，此技術密鑰長度不夠長，可能招致MiTM攻擊，美國標準及安全研究院在2017年宣布逐年淘汰；它還將加密金鑰寫死在程式碼中，加密金鑰可能以逆向工程被駭客取得；此外，該App以NIL（全空值）作為加密初始向量（initialization Vector，IV）或重覆使用IV，可能降低加密IV的隨機性，提升攻擊者破解機會。

資料儲存上，DeepSeek iOS App將使用者名稱、密碼與加密金鑰儲存在裝置的快取資料庫中。由於DeepSeek使用NSURLRequest API（iOS/macOS平臺的HTTP請求API）和端點通訊，該API會將HTTP回應儲存於本地快取資料庫，而讓他人、特別是能實際接觸到未上鎖裝置的攻擊者復原和存取這些敏感資訊。

DeepSeek的隱私政策頁說明，公司蒐集的資料儲存在中國境內的安全伺服器上。以及DeepSeek「基於法遵等理由，得以存取、保存「蒐集到的資訊」及分享給執法機關、主管單位、版權持有者或其他有必要的第三方單位。」

基於上述風險，資安廠商建議企業應立即從列管及BYOD環境上移除DeepSeek iOS App。Ars Technica引述NowSecure主管說，Android比iOS平臺更不安全，因此也應移除。

一月底賓州大學和思科也發表報告指出，惡意提示對DeepSeek R1的攻擊成功率是100%，意指它無法阻擋任何有害的提示濫用。