DeepSeek ha captado rápidamente la atención mundial, superando recientemente a ChatGPT como la aplicación gratuita más descargada en la App Store de Apple.
Si bien su bajo costo, capacidades avanzadas y enfoque de código abierto están atrayendo a los usuarios, las organizaciones deben comprender las implicaciones de seguridad de que los empleados usen DeepSeek.
Preocupaciones críticas de seguridad
Por una buena razón, las organizaciones y los gobiernos de todo el mundo están apresurándose para prohibir DeepSeek debido a las crecientes preocupaciones de seguridad. El Congreso lo ha prohibido. Así también la Marina de Estados Unidos. Italia también ha bloqueado DeepSeek, aunque, en su momento, también prohibió ChatGPT.
Desglosaremos las causas de preocupación.
Procesamiento de datos en China
- DeepSeek procesa las solicitudes de los usuarios en servidores ubicados en China conforme a su política de privacidad.
- Sin embargo, los desarrolladores pueden alojar instancias locales de DeepSeek en servidores que están aislados de la nave nodriza china.
- Todos los datos están sujetos a las leyes y regulaciones de privacidad de datos de China
- Las organizaciones deben considerar las implicaciones de cumplimiento con los requisitos regulatorios de EE. UU.
Riesgos de Shadow AI
- Los empleados pueden descargar y usar DeepSeek sin la aprobación de la organización
- Las prohibiciones corporativas tradicionales sobre las herramientas de IA han demostrado ser difíciles de hacer cumplir.
- La información sensible de la empresa podría compartirse inadvertidamente en conversaciones informales
A diferencia de TikTok o Huawei, la naturaleza de código abierto presenta sus propios desafíos de seguridad. Además, debido a su bajo costo de entrenamiento y operación, los ciberdelincuentes pueden utilizar DeepSeek para lanzar campañas masivas de manera más eficiente.
Estrategias de mitigación de riesgos
DeepSeek no será la última aplicación de IA oculta de la que deba preocuparse. Entonces, ¿qué medidas puede tomar para asegurarse de que puede identificar las aplicaciones de IA oculta e impedir que filtren sus secretos corporativos?
Acciones inmediatas
1. Desarrolle políticas claras de IA
- Crear directrices claras sobre las herramientas de IA aprobadas
- Establezca protocolos para el manejo de información confidencial
- Defina las consecuencias del uso no autorizado de herramientas de IA
2. Ofrezca alternativas seguras
- Considere crear instancias aisladas utilizando el código abierto de DeepSeek.
- Evalúe soluciones de IA de nivel empresarial con controles de seguridad adecuados
- Implemente versiones aisladas que no se conecten a servidores externos.
3. Educación de los empleados
- Concienciar sobre los riesgos de seguridad de los datos
- Proporcionar alternativas claras a las herramientas de IA no autorizadas
- Explicando las implicaciones de compartir información sensible con modelos de IA
Uso de Varonis para descubrir y bloquear DeepSeek
- Varonis puede ayudarle a descubrir y clasificar datos confidenciales e implementar privilegios mínimos para reducir su exposición potencial a DeepSeek y otras herramientas de IA riesgosas.
- Varonis for Network puede ayudar detectando el uso de DeepSeek mediante el monitoreo de DNS y servidores proxy web.
- La funcionalidad SSPM de Varonis detecta y elimina automáticamente las aplicaciones y complementos ocultos de DeepSeek que los usuarios han integrado en sus aplicaciones SaaS autorizadas sin la aprobación de TI.
- Le mostraremos qué usuarios instalaron las aplicaciones de DeepSeek, cuándo, qué permisos se han otorgado y qué acciones se llevaron a cabo.
- Varonis puede descubrir y clasificar archivos, código fuente, correos electrónicos, etc. que se relacionan con DeepSeek para identificar a desarrolladores deshonestos o empleados ansiosos por descargar y probar el código.
Mirando hacia el futuro
Aunque las capacidades de DeepSeek son impresionantes, las organizaciones deben sopesar cuidadosamente los beneficios frente a los riesgos de seguridad. La naturaleza de código abierto de DeepSeek ofrece tanto oportunidades como desafíos:
Oportunidades:
- Las organizaciones pueden inspeccionar los pesos del modelo y el código de entrenamiento
- Posibilidad de crear implementaciones seguras y aisladas
- Transparencia en el funcionamiento del modelo
Desafíos:
- Mayor vulnerabilidad a los ataques dirigidos
- Potencial de uso malicioso
- Preocupaciones sobre el cumplimiento de las regulaciones de privacidad de datos
Conclusión
Si bien DeepSeek representa un avance tecnológico significativo, las organizaciones deben abordar su uso con precaución.
La combinación de los requisitos de soberanía de datos de China, las vulnerabilidades de código abierto y el potencial para el uso de IA oculta crea un desafío de seguridad complejo que requiere una consideración cuidadosa y una gestión proactiva.
Este aviso de seguridad se actualizará a medida que haya nueva información disponible sobre las implicaciones de seguridad de DeepSeek y las mejores prácticas para su uso en empresas.
