Nelle ultime settimane, ha suscitato notevole attenzione a livello globale il lancio di una nuova AI generativa, che in pochi giorni ha superato ChatGPT come app gratuita più scaricata. Stiamo parlando del chatbot DeepSeek, rilasciato il 10 gennaio scorso dall’omonima startup cinese. Tuttavia, questo rapido successo ha sollevato preoccupazioni significative riguardo alla cybersecurity e alla privacy degli utenti.
Il servizio, infatti, raccoglie – con un codice nascosto – una vasta gamma di dati degli utenti, inclusi la cronologia delle chat e delle query di ricerca, nonché informazioni sul dispositivo utilizzato; dati che vengono archiviati in Datacenter dislocati in Cina e condivisi con il Governo cinese. Molti Paesi quindi stanno bloccando DeepSeek e anche in Italia il Garante della Privacy ha preso posizione ufficialmente.
DeepSeek: vulnerabilità di sicurezza
Il 31 gennaio Cisco ha pubblicato un’analisi realizzata con l’Università della Pennsylvania che dimostra tutte le vulnerabilità del modello di DeepSeek, sottoposto allo “stress” del Penetration Test: il cento per cento degli attacchi è andato a buon fine. Sembra che tramite tecniche come “Evil Jailbreak” è possibile sbloccare il modello e generare codice dannoso come ransomware e malware.
Recentemente, inoltre, è stato scoperto un database non protetto appartenente a DeepSeek, che esponeva oltre un milione di record, inclusi log di sistema, prompt degli utenti e token API. Questa esposizione rappresenta un rischio critico sia per la sicurezza dell’azienda che per quella degli utenti finali, poiché un attaccante avrebbe potuto accedere a informazioni sensibili e potenzialmente esfiltrare dati riservati.
Insomma, le vulnerabilità di sicurezza di DeepSeek potrebbero essere sfruttate dai cybercriminali e persino da reti di disinformazione. Uno studio statunitense di Enkrypt AI ha rilevato una probabilità 11 volte maggiore di generare contenuti dannosi e discriminatori in termini di razza, sesso, religione e salute. Inoltre, sono arrivate segnalazioni riguardanti meccanismi di censura: sembra che il modello si rifiuti di rispondere a domande su argomenti considerati politicamente sensibili per il governo cinese. Questa censura integrata solleva interrogativi sull’imparzialità e sull’affidabilità delle informazioni fornite.
DeepSeek e Privacy: la posizione del Garante in Italia
Le pratiche di raccolta e archiviazione dei dati di DeepSeek hanno attirato l’attenzione di diverse autorità di Data Protection a livello internazionale.
La scorsa settimana Taiwan ha vietato alle agenzie governative di utilizzare il modello di intelligenza artificiale di DeepSeek, adducendo problemi di sicurezza; in Asia anche il Ministero dell’Ambiente della Corea del Sud ha vietato l’uso dell’applicazione di intelligenza artificiale DeepSeek.
Negli Stati Uniti, sebbene non vi sia stato alcun divieto a livello nazionale, il Texas è stato il primo Stato americano a vietare DeepSeek sui dispositivi in dotazione al governo.
In Italia, dopo aver richiesto informazioni dettagliate su quali dati personali vengono raccolti, le loro fonti, le finalità, la base giuridica del trattamento e l’eventuale conservazione su server in Cina, il Garante ha ritenuto la risposta di DeepSeek insufficiente e non collaborativa. Di conseguenza, ha ordinato il blocco immediato dell’applicazione in Italia e ha avviato un’indagine approfondita. Nonostante il provvedimento, alcuni utenti in Italia hanno segnalato che il chatbot è ancora funzionante sui loro dispositivi mobili e la versione web rimane accessibile. Il Garante sta monitorando attentamente la situazione per garantire il rispetto delle normative.
Red Team: utilizzo sicuro delle nuove tecnologie
L’esplosione di DeepSeek, la raccolta massiva di dati, la loro conservazione in server situati in Cina e le vulnerabilità emerse nella protezione delle informazioni hanno sollevato interrogativi importanti sulla sicurezza dei dati personali e aziendali, confermando per l’ennesima volta la necessità di adottare un approccio proattivo nella lotta alle minacce informatiche. Per mitigare le vulnerabilità, prima che possano essere sfruttate da attori malevoli, è necessario individuare preventivamente i percorsi che il cybercriminale potrebbe compiere per effettuare una violazione.
Il Red Team Longwave propone servizi specifici e customizzati per rafforzare le difese aziendali contro i cyber attacks. Dalla simulazione di attacchi per individuare potenziali vulnerabilità pericolose, all’analisi e classificazione delle criticità presenti sui sistemi con relativo fattore di rischio, fino alla scansione dettagliata degli asset esposti: con un metodo “Thinking like a hacker” è possibile testare e incrementare la struttura di protezione per proteggere i dati e garantire un utilizzo sicuro delle nuove tecnologie.
Fonti:
blog.cisco.com
cybersecurity360.it
garanteprivacy.it
