Le jour où DeepSeek a exposé des milliers de conversations privées sur Google

Ce qui s'est retrouvé sur la place publique

Les conversations indexées étaient d'une sensibilité confondante. Des journalistes indépendants ont pu vérifier qu'un simple clic permettait de consulter :

• Des documents professionnels et des rapports comptables
• Des analyses financières sur les cryptomonnaies et l'or
• Des conversations personnelles, des plaintes sentimentales aux questions médicales
• Les noms des fichiers échangés pendant les discussions

Environ un tiers des conversations découvertes en russe provenaient d'utilisateurs russophones, mais le problème était mondial . Google lui-même a dû regrouper les résultats, le nombre de pages indexées étant si élevé que le moteur a affiché un message indiquant que seuls les plus pertinents étaient montrés .

La cause : une balise manquante

Pas de piratage. Google a simplement indexé les pages de « conversations partagées » créées par les utilisateurs eux-mêmes via le bouton « Partager » de DeepSeek. Ces pages étaient publiques, mais ne comportaient pas de balise noindex ni de restrictions robots.txt pour empêcher leur exploration par les moteurs de recherche .

DeepSeek avertissait bien les utilisateurs avant le partage que « toute personne ayant le lien peut voir la conversation » . Mais il ne précisait pas que ces pages pouvaient être indexées par Google, une omission cruciale que la plupart des utilisateurs n'avaient pas anticipée .

Quatre failles de sécurité qui ont rendu la fuite possible

Au-delà de la balise noindex absente, la découverte de Konitzny a révélé des carences structurelles plus profondes :

1. Pas de tableau de bord centralisé. Les utilisateurs n'ont aucun moyen de voir la liste de toutes les conversations qu'ils ont partagées. Pour révoquer un lien, il faut le supprimer manuellement depuis les paramètres de chaque discussion .

2. Pas de révocation en un clic. Une fois le lien créé, aucune fonctionnalité de révocation en masse ne permet d'invalider instantanément tous les échanges partagés .

3. Pas de noindex par défaut. Les pages partagées de DeepSeek ne comportaient pas les en-têtes anti-indexation pourtant standard sur les services de partage de documents comme Google Docs, Notion ou Dropbox . Il s'agit d'un contrôle de sécurité opérationnel de base.

4. Une interface mal conçue. Le partage est facile, mais le contrôle a posteriori est complexe. Comme l'a souligné un analyste, le problème « réside dans le décalage entre la facilité de partage et la difficulté à le contrôler ensuite » .

Un schéma récurrent de problèmes de confidentialité

Cet incident ne survient pas dans le vide. DeepSeek fait l'objet de nombreuses critiques en matière de respect de la vie privée :

• Manque de transparence. Les détracteurs soulignent que DeepSeek ne satisfait pas aux exigences des articles 12 à 14 du RGPD en matière de communication claire sur le traitement des données .
• Transfert de données vers la Chine. Les données des utilisateurs sont stockées sur des serveurs en Chine ; la politique de confidentialité de DeepSeek reconnaît que les données personnelles (e-mails, numéros de téléphone, historiques de chat) y sont collectées et conservées .
• Code suspect. Des experts ont signalé que le code de DeepSeek contiendrait des fonctionnalités permettant d'envoyer les données des utilisateurs aux autorités chinoises, une allégation contestée .
• Avertissements gouvernementaux. Plusieurs gouvernements occidentaux ont émis des alertes sur les risques de DeepSeek, l'Australie étant l'un des premiers à publier un avis officiel .

Le dilemme : vitesse de l'IA contre sécurité

Ce cas illustre parfaitement le fossé entre le déploiement rapide de fonctionnalités d'IA et une sécurité informatique rigoureuse. DeepSeek a ajouté une fonction de partage utile, mais a négligé des contrôles de sécurité opérationnels de base (blocage du crawl, gestion centralisée des liens, révocation en masse) qui devraient accompagner tout mécanisme de partage public.

La même course pour offrir des capacités d'IA toujours plus avancées produit des applications où la protection de la vie privée dépend de la mémoire de l'utilisateur, pas de paramètres sécurisés par défaut.

Comment se protéger

Si vous avez utilisé la fonction de partage de DeepSeek, voici la marche à suivre :

1. Vérifiez vos liens partagés. Ouvrez chaque conversation que vous avez pu partager et cherchez l'option de gestion des liens.
2. Supprimez tous les liens manuellement. Il n'y a pas d'option de suppression en masse, procédez une par une .
3. Vérifiez Google. Utilisez site:chat.deepseek.com pour voir si vos conversations apparaissent dans les résultats.
4. Partez du principe que tout lien partagé est public. Ne partagez jamais de conversation contenant des données sensibles.

L'exposition de DeepSeek n'est pas un incident isolé : c'est un avertissement sur les risques cachés des plateformes d'IA qui privilégient la vitesse à la sécurité. Tant que les protections de base comme les balises noindex et la gestion centralisée des liens ne seront pas la norme, chaque utilisateur d'IA doit supposer que ses conversations partagées peuvent être trouvées par n'importe qui.