Expediente korea-pipc-deepseek-prompt-transferFiltración de modelos y datosCorea del Sur
PIPC de Corea: DeepSeek envió prompts de usuarios coreanos a Volcano Engine, vinculada a ByteDance
La PIPC de Corea determinó que DeepSeek envió datos de usuarios y prompts de IA a cinco empresas en China y EE. UU., incluida la filial de ByteDance Volcano Engine, sin consentimiento, y ordenó medidas correctivas.
AltaAtaque a la IAEstado: ResueltoExpediente verificado
Abrir en el mapa interactivoCitar este expediente
- Reportado
- 24 abr 2025
- Ubicación
- Corea del Sur
- Objetivo
- Usuarios surcoreanos de la app DeepSeek
- Gravedad
- Alta
- Provocado por
- DeepSeek (Hangzhou DeepSeek AI)
- Tipo de actor
- Accidente / mala configuración
- Pérdida reportada
- Ninguna reportada
- CVE
- Ninguno
Qué ocurrió
La PIPC de Corea determinó que DeepSeek envió datos de usuarios y prompts de IA a cinco empresas en China y EE. UU., incluida la filial de ByteDance Volcano Engine, sin consentimiento, y ordenó medidas correctivas.
Impacto: Prompts y metadatos de usuarios coreanos, más de un millón de descargas, enviados al extranjero sin consentimiento; app retirada de las tiendas coreanas hasta su corrección.
Quién lo provocó
Actor: DeepSeek (Hangzhou DeepSeek AI)
Atribución: La inspección previa de la PIPC estableció las transferencias; DeepSeek dijo que Volcano Engine se usaba para seguridad y analítica de UX, no para marketing.
Motivo: Analítica del servicio y entrenamiento de modelos; no se estableció intención maliciosa.
Cómo ocurrió
Vector de ataque: La app enviaba automáticamente datos de dispositivo, red y prompts a proveedores de nube extranjeros en cada sesión, sin política de privacidad coreana, opción de exclusión ni verificación de edad.
Causa raíz: Lanzamiento sin aviso de privacidad en coreano, flujo de consentimiento ni salvaguardas de transferencia transfronteriza exigidas por la PIPA.
Cronología
- La PIPC confirma el flujo de datos a servidores vinculados a ByteDance; DeepSeek suspende nuevas descargas en Corea
- DeepSeek bloquea nuevas transferencias transfronterizas de datos de prompts
- La PIPC publica sus hallazgos y emite recomendaciones correctivas
Respuesta
DeepSeek añadió una opción de exclusión del uso para entrenamiento, una política de privacidad en coreano y verificación de edad, destruyó los datos de prompts transferidos y debió reportar su cumplimiento en 60 días.
Estado actual: Resuelto
Fuentes (pestaña nueva)
- Newsis newsis.com
- Hankyoreh via Daum v.daum.net
- Malwarebytes Labs malwarebytes.com
Citar este expediente
PIPC de Corea: DeepSeek envió prompts de usuarios coreanos a Volcano Engine, vinculada a ByteDance. AI Threat Watch, expediente korea-pipc-deepseek-prompt-transfer, 24 abr 2025. https://aithreat.io/es/cases/korea-pipc-deepseek-prompt-transfer/
Enlace permanente: https://aithreat.io/es/cases/korea-pipc-deepseek-prompt-transfer/