DeepSeek, la startup cinese il cui modello di intelligenza artificiale ha fatto crollare i titoli tecnologici a fine gennaio, è finita in pochi giorni al centro di due vicende: un database lasciato aperto su Internet e un provvedimento d’urgenza del Garante per la protezione dei dati personali.
Il 29 gennaio un gruppo di ricercatori ha reso noto di aver trovato, analizzando i sistemi esposti dell’azienda, un database ClickHouse accessibile senza alcuna autenticazione su due sottodomini. Dentro c’erano oltre un milione di righe di log a partire dal 6 gennaio: la cronologia delle chat degli utenti in chiaro, chiavi API e segreti, dettagli sull’infrastruttura interna. L’accesso dava il pieno controllo del database e, potenzialmente, privilegi più ampi. Se qualcun altro ci sia arrivato prima non si sa; DeepSeek l’ha chiuso rapidamente dopo la segnalazione.
Il provvedimento del Garante
Il 28 gennaio il Garante aveva chiesto alle società che forniscono il servizio quali dati personali raccolgono, da quali fonti, per quali finalità e dove li conservano, compresa l’eventuale conservazione in Cina. Le società hanno risposto di non operare in Italia e che la normativa europea non si applica a loro. Il 30 gennaio il Garante ha giudicato quelle risposte «del tutto insufficienti», ha disposto con urgenza la limitazione del trattamento dei dati degli utenti italiani e ha aperto un’istruttoria. Nel frattempo l’app era già sparita dagli store italiani.
Le due vicende raccontano la stessa cosa da due lati. Un servizio cresciuto a una velocità impressionante, con milioni di utenti in pochi giorni, che non ha saputo spiegare dove finiscono i loro dati e che, nel frattempo, li lasciava in un database aperto a chiunque.
Ai chatbot affidi domande, documenti e codice, spesso informazioni che non scriveresti da nessun’altra parte. Prima di incollare qualcosa, chiediti se ti andrebbe bene vederlo pubblicato. Dati personali, segreti aziendali, password e chiavi API non dovrebbero finirci mai, qualunque servizio tu usi. Se hai incollato chiavi o credenziali in DeepSeek, revocale e generane di nuove.
In azienda serve una regola scritta su quali servizi di intelligenza artificiale sono ammessi e quali dati possono ricevere. E se gestisci database, controlla oggi che nessuna istanza sia raggiungibile da Internet senza autenticazione: resta una delle cause più banali, e più frequenti, di fughe di dati.
