Dossier korea-pipc-deepseek-prompt-transferFuite de modèle et de donnéesCorée du Sud
Corée : la PIPC révèle que DeepSeek envoyait les prompts des utilisateurs à Volcano Engine
La PIPC coréenne a établi que DeepSeek transmettait sans consentement des données utilisateur et des prompts IA à cinq entreprises en Chine et aux États-Unis, dont Volcano Engine, filiale de ByteDance, et a ordonné des mesures correctives.
ÉlevéeAttaque contre l’IAStatut: RésoluDossier vérifié
Ouvrir dans la carte interactiveCiter ce dossier
- Signalé le
- 24 avr. 2025
- Lieu
- Corée du Sud
- Cible
- Utilisateurs sud-coréens de l'application DeepSeek
- Gravité
- Élevée
- Déclenché par
- DeepSeek (Hangzhou DeepSeek AI)
- Type d’acteur
- Accident / mauvaise configuration
- Perte déclarée
- Aucune déclarée
- CVE
- Aucun
Ce qui s’est passé
La PIPC coréenne a établi que DeepSeek transmettait sans consentement des données utilisateur et des prompts IA à cinq entreprises en Chine et aux États-Unis, dont Volcano Engine, filiale de ByteDance, et a ordonné des mesures correctives.
Impact: Prompts et métadonnées d'utilisateurs coréens, plus d'un million de téléchargements, envoyés à l'étranger sans consentement ; application retirée des boutiques coréennes en attendant les correctifs.
Qui l’a déclenché
Acteur: DeepSeek (Hangzhou DeepSeek AI)
Attribution: L'inspection préalable de la PIPC a établi les transferts ; DeepSeek a affirmé que Volcano Engine servait à la sécurité et à l'analyse de l'expérience utilisateur, pas au marketing.
Mobile: Analyse du service et entraînement de modèles ; aucune intention malveillante établie.
Comment c’est arrivé
Vecteur d’attaque: L'application envoyait automatiquement à chaque session des données d'appareil, de réseau et de prompts à des fournisseurs cloud étrangers, sans politique de confidentialité coréenne, option de refus ni vérification d'âge.
Cause racine: Lancement sans avis de confidentialité en coréen, sans parcours de consentement ni garanties de transfert transfrontalier exigées par la PIPA.
Chronologie
- La PIPC confirme le flux de données vers des serveurs liés à ByteDance ; DeepSeek suspend les nouveaux téléchargements en Corée
- DeepSeek bloque les nouveaux transferts transfrontaliers de données de prompts
- La PIPC publie ses conclusions et émet des recommandations correctives
Réponse
DeepSeek a ajouté une option de refus pour l'entraînement, une politique de confidentialité en coréen et une vérification d'âge, détruit les données de prompts transférées et a dû rendre compte de sa conformité sous 60 jours.
Statut actuel: Résolu
Sources (nouvel onglet)
- Newsis newsis.com
- Hankyoreh via Daum v.daum.net
- Malwarebytes Labs malwarebytes.com
Citer ce dossier
Corée : la PIPC révèle que DeepSeek envoyait les prompts des utilisateurs à Volcano Engine. AI Threat Watch, dossier korea-pipc-deepseek-prompt-transfer, 24 avr. 2025. https://aithreat.io/fr/cases/korea-pipc-deepseek-prompt-transfer/
Lien permanent: https://aithreat.io/fr/cases/korea-pipc-deepseek-prompt-transfer/