Theo thông tin từ Reuters, cơ quan bảo vệ dữ liệu Hàn Quốc đã yêu cầu các công ty công nghệ khẩn trương triển khai các biện pháp ngừng tải xuống DeepSeek. Trong khi đó, ứng dụng vẫn có thể truy cập qua trình duyệt web, ít nhất là trong thời gian này. DeepSeek, một startup AI của Trung Quốc, nổi bật với mô hình “R1” của nó, đã thu hút sự chú ý, thậm chí được CEO Apple Tim Cook khen ngợi, nhưng vẫn vướng phải nhiều tranh cãi về nguồn gốc.

Theo đánh giá của cơ quan Hàn Quốc, DeepSeek có khả năng quay trở lại hoạt động nếu thực hiện những thay đổi cần thiết để đảm bảo tính tuân thủ với luật bảo mật tại đây. Công ty này đã chỉ định đại diện pháp lý tại Hàn Quốc và thừa nhận rằng họ đã phần nào bỏ qua các quy định về bảo mật thông tin cá nhân của nước này.

Ngoài Hàn Quốc, DeepSeek cũng đã vấp phải sự phản đối từ chính quyền Italy, quốc gia đầu tiên cấm ứng dụng này vì lý do bảo mật. Một thượng nghị sĩ Mỹ cũng đang soạn thảo dự luật nhằm xử phạt những người sử dụng các ứng dụng AI của Trung Quốc, điều này cho thấy áp lực từ các cơ quan chính phủ đối với ứng dụng này ngày càng gia tăng.

DeepSeek không chỉ đứng đầu danh sách tải xuống của App Store Mỹ chỉ trong vòng một tháng mà còn vượt mặt cả ChatGPT của OpenAI. Dù được yêu thích, ứng dụng này vẫn cần vượt qua nhiều thách thức liên quan đến việc bảo vệ thông tin cá nhân ở nhiều quốc gia. Thế nên, người dùng của DeepSeek sẽ phải theo dõi những diễn biến tiếp theo để nắm rõ hơn về tương lai của ứng dụng này trong và ngoài nước.

Tuy nhiên, vào hôm thứ Năm, công ty bảo mật di động NowSecure đã công bố rằng ứng dụng này gửi dữ liệu nhạy cảm qua các kênh không mã hóa, cho phép bất kỳ ai có thể giám sát lưu lượng truy cập đọc được thông tin. Các tin tặc tinh vi hơn có thể can thiệp vào dữ liệu khi nó đang di chuyển. Mặc dù Apple khuyến khích các nhà phát triển iPhone và iPad phải thực hiện mã hóa cho dữ liệu được gửi đi thông qua ATS (App Transport Security), nhưng mức bảo vệ này lại không được áp dụng trong ứng dụng DeepSeek.

Hơn nữa, dữ liệu được gửi đến các máy chủ được kiểm soát bởi ByteDance, công ty mẹ của TikTok. Một số dữ liệu được mã hóa đúng cách bằng cách sử dụng TLS (Transport Layer Security), nhưng khi dữ liệu được giải mã trên các máy chủ này, nó có thể được kết hợp với dữ liệu người dùng thu thập ở nơi khác để nhận diện cụ thể các người dùng, từ đó truy vết các phiên hỏi và sử dụng.

Về mặt kỹ thuật, chatbot AI DeepSeek sử dụng một mô hình suy luận giả lập với trọng số mở. Hiệu suất của nó phần lớn tương tự với mô hình suy luận của OpenAI trên một số tiêu chí về toán học và lập trình. Sự phát triển này gây bất ngờ cho nhiều chuyên gia trong ngành công nghiệp AI, đặc biệt khi DeepSeek tuyên bố rằng họ đã chi tiêu một phần nhỏ so với số tiền mà OpenAI đã đầu tư vào sản phẩm của mình.

Kiểm tra của NowSecure cũng phát hiện ra một số hành vi khác trong ứng dụng mà các nhà nghiên cứu cảm thấy đáng lo ngại. Ví dụ, ứng dụng sử dụng một mô hình mã hóa đối xứng được gọi là 3DES hoặc triple DES, đã bị NIST ngừng sử dụng sau khi nghiên cứu năm 2016 chỉ ra rằng nó có thể bị phá vỡ trong các cuộc tấn công thực tiễn để giải mã lưu lượng web và VPN. Một mối quan tâm khác là các khóa mã hóa đối xứng, giống nhau cho mọi người dùng iOS, đã được mã cứng vào ứng dụng và lưu trữ trên thiết bị.

Theo Andrew Hoog, người đồng sáng lập NowSecure, ứng dụng “không được trang bị hoặc không muốn cung cấp bảo vệ cơ bản cho dữ liệu và danh tính của bạn”. Ông cho biết có những thực tiễn bảo mật cơ bản không được tuân thủ, có thể là cố tình hoặc không cố ý. Cuối cùng, điều này đặt dữ liệu và danh tính của bạn, cũng như của công ty bạn, vào nguy cơ cao.

NowSecure đã kiến nghị các tổ chức cần dỡ bỏ ứng dụng DeepSeek khỏi môi trường quản lý và BYOD do các rủi ro về quyền riêng tư và an ninh. Hoog cũng chỉ ra rằng ứng dụng DeepSeek trên Android thậm chí còn kém an toàn hơn so với phiên bản trên iOS và cũng nên được gỡ bỏ.

Đại diện của cả DeepSeek lẫn Apple đều không phản hồi khi được hỏi ý kiến về vấn đề này. Dữ liệu được gửi hoàn toàn trong trạng thái không mã hóa diễn ra trong quá trình đăng ký ban đầu của ứng dụng, bao gồm các thông tin cá nhân nhạy cảm mà người dùng có thể không nhận ra được.

Apple đã mạnh mẽ khuyến khích các nhà phát triển thực hiện ATS để đảm bảo rằng các ứng dụng họ gửi không truyền tải bất kỳ dữ liệu nào qua các kênh HTTP không an toàn. Tuy nhiên, vì lý do chưa được Apple giải thích công khai, sự bảo vệ này lại không bắt buộc. DeepSeek vẫn chưa giải thích tại sao ATS lại bị vô hiệu hóa hoàn toàn trong ứng dụng hoặc lý do sử dụng không mã hóa khi gửi thông tin này đi.