Cybersecurity chief travolto da bufera dopo l’uso incauto di ChatGPT
Indice dei Contenuti:
Usa: il capo della cyber sicurezza ha caricato documenti sensibili su ChatGPT
Documenti sensibili e AI generativa
L’episodio che coinvolge il direttore ad interim della Cybersecurity and Infrastructure Security Agency (CISA), Madhu Gottumukkala, ha sollevato un allarme interno nel perimetro del Department of Homeland Security (DHS) per l’uso disinvolto di una piattaforma di intelligenza artificiale generativa. Secondo ricostruzioni interne, su una versione pubblica di ChatGPT sarebbero stati caricati documenti contrattuali e di procurement contrassegnati come “For Official Use Only”, cioè materiale governativo sensibile non destinato alla circolazione esterna. I file non risultano classificati, ma la loro natura è sufficiente a rientrare nelle categorie a rischio di esposizione involontaria.
Il caricamento è stato individuato dai sensori di sicurezza presenti sulle reti federali nel mese di agosto, quando i sistemi automatici di monitoraggio hanno generato allarmi analoghi a quelli usati per intercettare tentativi di esfiltrazione di dati. Da lì è partita una revisione interna con relativa damage assessment, per valutare se le informazioni potessero essere state assorbite dall’infrastruttura del fornitore o comunque condivise al di fuori del perimetro autorizzato.
Le procedure del DHS prevedono che ogni episodio di possibile esposizione di documenti sensibili venga analizzato con una catena di responsabilità tracciabile, dal personale tecnico fino ai vertici amministrativi, con verifiche mirate sul rispetto delle policy di protezione dei dati governativi.
Deroghe, controlli interni e responsabilità
Il caso risulta ancora più delicato perché riguarda la figura che guida, seppur ad interim, le politiche di difesa cibernetica federale. Secondo fonti interne, Madhu Gottumukkala avrebbe ottenuto una specifica autorizzazione per usare lo strumento alcuni mesi dopo il suo ingresso in CISA, quando l’accesso a ChatGPT era bloccato per la maggior parte dei dipendenti del DHS. L’agenzia sostiene che si sia trattato di un utilizzo temporaneo, limitato e soggetto a controlli interni, con l’ultima sessione collocata a metà luglio 2025, nell’ambito di una deroga concessa a una ristretta platea di personale.
In seguito alla rilevazione degli upload, il contenuto immesso nella piattaforma sarebbe stato discusso con dirigenti del DHS, e all’interno della stessa CISA si sarebbero tenuti incontri con il CIO e l’ufficio legale per riallineare l’uso degli strumenti di AI generativa alle regole che governano il trattamento dei documenti destinati al solo uso ufficiale. Tra le opzioni in valutazione rientrano nuove linee guida operative, sessioni di retraining obbligatorie e, nei casi più critici, misure disciplinari proporzionate alla gravità della violazione.
Il DHS ha inoltre accelerato sulla migrazione verso soluzioni di AI interne o gestite in modalità “walled garden”, dove richieste e allegati non possano uscire dal dominio delle reti federali né essere riutilizzati per l’addestramento di modelli pubblici.
Riflessi istituzionali e nuove regole
L’incidente avviene in una fase già sensibile per l’agenzia federale responsabile della protezione delle infrastrutture critiche. CISA, guidata politicamente da Madhu Gottumukkala in regime di interim, è al centro di altre verifiche interne su procedure di sicurezza e rapporti con i livelli dirigenziali, mentre la nomina del direttore indicato dall’amministrazione Trump resta sospesa in attesa di conferma. Un contesto che amplifica la portata di un episodio altrimenti classificabile come violazione procedurale, ma che qui tocca il vertice operativo della cyber difesa statunitense.
La criticità non riguarda solo il singolo comportamento, bensì il modello di gestione dei dati in un’epoca in cui gli strumenti di AI generativa sono sempre più integrati nei flussi di lavoro governativi. L’uso di servizi pubblici, per loro natura basati su infrastrutture esterne e policy di trattamento dei dati spesso opache per l’utente finale, rischia di trasformare in vulnerabilità sistemica ciò che nasce come supporto alla produttività.
Per le agenzie federali, la sfida passa ora da un rafforzamento delle regole su cosa possa essere condiviso con provider esterni, dall’obbligo di tracciabilità di ogni accesso a strumenti di AI e da una formazione continua che unisca competenze tecniche e consapevolezza dei rischi istituzionali.
FAQ
D: Che tipo di documenti sono stati caricati sulla piattaforma di AI?
R: Si tratta di file di procurement e contrattualistica etichettati “For Official Use Only”, quindi sensibili ma non classificati.
D: Chi è il dirigente coinvolto nell’episodio?
R: Il caso riguarda Madhu Gottumukkala, direttore ad interim della CISA, agenzia federale del DHS responsabile della sicurezza cibernetica.
D: Perché l’uso di una versione pubblica di ChatGPT è considerato rischioso?
R: Perché i dati inseriti possono essere condivisi con il fornitore e, in base alle policy, contribuire al funzionamento del sistema, uscendo dal perimetro di controllo federale.
D: Come è stato scoperto il caricamento dei documenti?
R: Gli upload sono stati rilevati dai sensori di sicurezza sulle reti federali, che hanno generato allarmi automatici tipici dei tentativi di esfiltrazione.
D: Quali passi ha avviato il DHS dopo l’incidente?
R: È stata avviata una damage assessment, con incontri tra vertici CISA, CIO e ufficio legale per valutare impatti, responsabilità e correttivi regolamentari.
D: Esistono alternative interne a ChatGPT per l’amministrazione USA?
R: Sì, il DHS sta promuovendo soluzioni di AI interne o controllate, concepite per impedire che richieste e documenti escano dalle reti federali.
D: Quali conseguenze disciplinari sono previste in casi simili?
R: Le policy federali prevedono misure che vanno dal retraining obbligatorio fino a sanzioni più gravi, in funzione del contesto e dell’impatto sulla sicurezza.
D: Qual è la fonte giornalistica originale citata per il caso?
R: La vicenda è stata ricostruita sulla base di informazioni e indiscrezioni riportate da fonti interne del Department of Homeland Security e riprese dalla stampa statunitense specializzata in cybersecurity.
DIRETTORE EDITORIALE
Michele Ficara Manganelli ✿
PUBBLICITA’ – COMUNICATI STAMPA – PROVE PRODOTTI
Per acquistare pubblicità CLICCA QUI
Per inviarci comunicati stampa e per proporci prodotti da testare prodotti CLICCA QUI
