The Pulse
Il DHS ordina di rimuovere DeepSeek dai sistemi informatici delle agenzie federali civili
Il Dipartimento della Sicurezza Interna ha ordinato alle agenzie federali civili di escludere i prodotti DeepSeek dagli acquisti e di rimuoverli dai propri sistemi informatici. La direttiva riguarda anche i prodotti e i servizi di terzi svi
AI.info Team · Scritto con l’IA · verificato ·
«I modelli di DeepSeek presentano molteplici vettori di minaccia».
Markwayne Mullin, segretario della Sicurezza Interna, nell’ordine firmato
Un ordine di luglio emerge a ottobre
Il Dipartimento della Sicurezza Interna ha ordinato alle agenzie federali civili di interrompere gli acquisti di prodotti DeepSeek e di rimuoverli dai propri sistemi informatici. L’ordine riguarda anche i prodotti e i servizi di terzi che usano implementazioni di DeepSeek, estendendo l’obbligo di rimozione oltre le applicazioni dell’azienda.
Il DHS ha depositato l’avviso pubblico relativo all’ordine il 19 ottobre 2026; il Federal Register ne ha programmato la pubblicazione per il giorno successivo. Secondo l’avviso, l’ordine sottostante, firmato dal segretario della Sicurezza Interna Markwayne Mullin, reca come data di pubblicazione originaria il 24 luglio 2026. Il DHS afferma che la decisione è seguita all’esame di una raccomandazione del Federal Acquisition Security Council e dei relativi elementi di prova.
L’ordine richiama il Federal Acquisition Supply Chain Security Act of 2018 e i relativi regolamenti attuativi. Si applica alle agenzie federali civili del ramo esecutivo, con l’eccezione dei loro sistemi di sicurezza nazionale e dei sistemi per le informazioni compartimentate protette. Non annuncia un divieto generale di usare DeepSeek al di fuori degli acquisti delle agenzie federali civili e dei loro sistemi informatici.
La rimozione riguarda anche i prodotti di terzi
Le agenzie devono escludere DeepSeek, le entità affiliate e i loro prodotti dagli acquisti destinati alle attività civili, compresi gli elenchi dei prodotti approvati, gli elenchi delle apparecchiature dei fornitori di servizi e i marketplace online utilizzati per acquistare prodotti e servizi informatici. L’ordine definisce un’entità affiliata in base al controllo diretto o indiretto, includendo un soggetto terzo che controlla DeepSeek o ne è controllato.
Le agenzie devono inoltre rimuovere i prodotti forniti da DeepSeek o dalle sue affiliate, così come i prodotti e i servizi di terzi sviluppati usando implementazioni di DeepSeek. L’ordine impone alle agenzie di intervenire immediatamente dopo la sua emanazione o di chiedere un’eccezione. Non fissa una scadenza distinta e successiva per completare la rimozione.
Le agenzie del ramo esecutivo possono chiedere al DHS un’eccezione, anche per ottenere un rinvio o limitare l’applicazione dell’ordine. Le richieste devono essere presentate per iscritto entro 60 giorni dall’emanazione e spiegare l’eccezione richiesta, individuare il prodotto o servizio interessato, motivare la richiesta e descrivere le misure alternative per ridurre il rischio. Il DHS afferma che la CISA esaminerà le richieste e comunicherà per iscritto l’approvazione o il diniego.
Il DHS cita l’esposizione dei dati e le vulnerabilità del software
Nella sezione dedicata ai rischi, l’ordine afferma che i server di DeepSeek si trovano in Cina e cita le preoccupazioni per il possibile accesso del governo cinese alle infrastrutture delle aziende private. Afferma che la creazione di un account per i servizi DeepSeek ospitati comporta la raccolta di dati personali identificativi e può consentire di tracciare gli utenti o di crearne un’impronta digitale. Il DHS avverte che, quando dipendenti pubblici o fornitori usano questi servizi, i prompt potrebbero far arrivare informazioni sensibili in Cina.
Il dipartimento sostiene inoltre che le informazioni inviate in Cina, combinate con dati pubblicamente disponibili, potrebbero produrre informazioni di intelligence utilizzabili su persone statunitensi o programmi governativi. Separatamente, l’ordine afferma che i modelli DeepSeek potrebbero contenere malware o altre vulnerabilità di sicurezza e cita una ricerca sulla sicurezza che ha individuato molteplici falle critiche nell’app iOS dell’azienda. Si tratta delle valutazioni dei rischi espresse dal DHS; l’ordine non descrive alcuna violazione dei sistemi federali.
Le agenzie sono invitate a monitorare il traffico durante la rimozione
Durante la rimozione dei prodotti interessati, il DHS incoraggia le agenzie a monitorare il traffico in entrata e in uscita dai propri sistemi, a rafforzare la registrazione dei log e i controlli contro l’esfiltrazione dei dati e a segnalare attività insolite. La CISA può fornire assistenza tecnica alle agenzie che non dispongono delle capacità interne necessarie per conformarsi all’ordine.
Secondo il testo, il segretario della Sicurezza Interna deve riesaminare l’ordine entro un anno e, in seguito, ogni anno. L’effetto immediato è un’esclusione dagli acquisti federali accompagnata da una direttiva di rimozione dai sistemi di portata più ampia: alle agenzie viene imposto di rimuovere non solo i prodotti DeepSeek, ma anche gli strumenti di terzi realizzati usando le sue implementazioni.