DHS 新提交通知披露 7 月命令：联邦民事机构须移除 DeepSeek 及相关第三方产品
DHS 10 月 19 日提交的通知披露，一项 7 月 24 日发布的命令要求联邦民事机构停购 DeepSeek 产品，并移除相关第三方产品。
DHS DeepSeek 联邦机构禁令是在 10 月 19 日才被提交刊载的通知公开：美国国土安全部（DHS）说明，部长 Markwayne Mullin 已于 7 月 24 日发布 Order #2026-01，要求联邦民事机构停止采购 DeepSeek 及关联实体的 IT 产品与服务，并从机构系统移除 DeepSeek 和使用其实现开发的第三方产品。10 月 19 日的文件是对既有命令的通知，排定 10 月 20 日刊载；这两个日期不能当成命令首次生效日。
要点
- 官方附件将命令标作 Order #2026-01，原始发布日期为 2026 年 7 月 24 日；联邦公报通知于 10 月 19 日上午 8:45 提交，排定次日发布。
- 采购排除适用于 DeepSeek、其关联实体及其产品；系统清除范围还包括使用 DeepSeek 实现开发、为民事机构提供产品或服务的第三方产品。
- 机构若要例外，须在命令签发后 60 天内向 DHS 签发官书面申请，说明范围、理由及拟采取的替代缓解措施。
背景
DHS 根据《联邦采购供应链安全法》（FASCSA，41 U.S.C. §§ 1321–1328）及实施规则发布命令。官方通知称，部长在审阅联邦采购安全委员会（FASC）的建议和相关证据后采取行动；命令把权限限定在联邦民事系统，国防部和情报体系在各自法定权限覆盖的范围内另行处理。Engadget 将这项行动放在美国政府此前限制 DeepSeek 的背景中：该媒体提到，国会议员在前一年曾提出限制政府设备使用 DeepSeek 的方案。那类提议与 DHS 依据供应链安全法发布的机构采购及系统命令，法律形式和覆盖范围并不相同。
这类供应链命令会影响政府客户能采购哪些软件，也会传导到向机构供货的承包商。DHS 此次行动的边界是联邦民事机构的采购和 IT 系统；官方通知没有将它描述为面向美国个人和企业的全国性消费禁令。
命令内容
DHS 的通知把命令分成采购排除和系统移除两项。采购排除自命令发布后立即生效，涉及机构批准产品清单、服务商设备清单、电子采购市场及其他协助采购 IT 硬件、软件和服务的渠道。清除要求也从命令签发后立即开始；附件没有给所有机构设一个统一的最终清除日，而是要求立即移除，或申请例外。
| 文件或步骤 | 日期 | 含义 |
|---|---|---|
| DHS Order #2026-01 | 2026 年 7 月 24 日 | 附件标注的 Original Release Date；命令开始适用 |
| 联邦公报通知提交 | 2026 年 10 月 19 日 8:45 am | FR Doc. 2026-21447 Filed |
| 计划刊载 | 2026 年 10 月 20 日 | 通知进入《联邦公报》刊载日程 |
CyberScoop 报道称，Mullin 在 6 月 26 日的来函中要求排除 DeepSeek；官方附件则将 7 月 24 日标为 Order #2026-01 的原始发布日期。现有文件没有解释这两个日期之间的关系，因此不能把 6 月的来函日期直接写成这份命令的签发日。官方附件还写明，DeepSeek 的关联实体依照 48 CFR 2.101 的“关联方”定义判断，即一方直接或间接控制、能够控制另一方，或第三方同时控制双方。
例外申请可以要求命令不适用于某机构、某项行动，或要求延后遵守。书面材料须指出申请对应的命令和条款、受影响产品或服务、申请例外的迫切理由，以及降低相关风险的替代措施。命令列出的理由包括机构履行关键任务的能力、国家利益及国家安全考量；CISA 可为缺少内部能力的机构提供技术协助。这里的 60 天从命令签发时计算，10 月的通知没有重新启动申请期限。
DHS 的安全依据
命令附件把数据流向和软件风险作为排除理由。它称 DeepSeek 在中国运营服务器；使用其托管服务时，账号注册流程会收集个人身份信息，产品还可能跟踪或建立用户数字指纹。员工把提示词和回答交给模型时，也可能把敏感资料传至中国。DHS 的判断是，这些信息单独或结合公开数据后，可能形成有关美国个人或政府项目的可行动情报。
附件还称模型可能带有恶意软件或其他安全漏洞，并引用 NowSecure 在 2025 年对 DeepSeek iOS 应用的安全研究，称研究发现多项严重漏洞。这些是 DHS 命令列出的风险主张；通知本身没有提供新的独立测试数据，也没有证明每个 DeepSeek 实现都含恶意代码。CyberScoop 和 Engadget 对 DHS 所述风险的概括集中在敏感数据可能流向中国政府、网络安全缺陷及中国法律环境。阅读时应把政府作为禁令依据的风险判断，与独立验证的技术结论分开。
过渡期间，附件建议机构监测进出网络流量、加强日志记录和数据外传控制，并检测、标记异常行为。也就是说，通知呈现的执行路径包括采购端停买、系统端清理，以及清理完成前的监控措施。部长还须在一年内、此后每年复核该命令；命令不是一份规定一次移除后永久不再检查的静态清单。
使用边界
正式文本的难点集中在“使用 DeepSeek 实现开发”的第三方产品。附件脚注说明，其中包括第三方采用 DeepSeek 实现来向民事机构提供产品或服务的情形，但它没有给出可供供应商逐项套用的判定测试，也没有说明间接依赖、多层转售或开发人员曾用模型辅助编码是否自动算入。
The Register 援引 Luta Security 首席执行官 Katie Moussouris 的分析：屏蔽 DeepSeek 自有应用和 API 较易执行，第三方范围却难以审计。传统软件物料清单能列组件，却通常不记录开发者用过什么编码工具。文章还指出，OpenRouter、Vercel AI Gateway 等模型网关可以自动选择服务商；若机构没有限制路由，应用请求可能经网关发往 DeepSeek。网关的存在本身并未被命令单独禁止，但它让“哪些产品使用了 DeepSeek”更难靠静态依赖清单回答。
范围限制同样重要。命令针对联邦民事行政部门，不包括其国家安全系统和敏感隔离信息系统；DHS 的权限也不取代国防部长和国家情报总监在相关系统上的权限。普通企业或个人用户不能据此推断自己在美国境内使用 DeepSeek 也被禁止。承接联邦业务的软件供应商则需要判断产品和服务是否落入命令的定义，并向客户、采购负责人及法律团队确认边缘情况。
一分钟核查
若产品服务联邦民事机构，第一分钟先查模型路由配置和服务商清单中的 DeepSeek 标识，再看网关是否启用了自动回退或自动挑选供应商；随后把相关 API、封装服务和由第三方提供的 DeepSeek 实现列入核查清单。再对照 Order #2026-01，记录哪些系统服务政府客户、哪些依赖需要供应商说明，并交给合同或安全负责人确认。单搜代码仓库可能漏掉托管网关中的路由，因此结果只能作为初筛，不能代替机构的合规判断。
编辑判断
对模型公司、软件供应商和承接联邦合同的云服务商，这份文件的实际影响是采购链和运行环境都要检查。直接部署 DeepSeek 的位置较好识别；第三方服务如何说明其实现来源、模型路由在何处发生，以及开发工具使用是否相关，官方文本仍留有解释空间。若团队为政府客户提供服务，优先盘点产品清单、路由日志和供应商声明，比只在代码里搜索模型名称更接近命令要求。
10 月 19 日的披露让公众看到完整命令附件；它没有把 7 月命令变成一项新政策，也没有重新计算 60 天例外期限。接下来可以关注 DHS 按年复核时是否进一步说明第三方实现范围，以及 CISA 如何协助机构完成清理。对承接联邦业务的团队，眼前更直接的工作仍是盘点产品、检查路由并向供应商索取说明；本站此前的 DeepSeek Search 与 Fetch API 条目可供核对产品名称，具体适用范围仍需由采购负责人确认。与其他供应链风险处置相比，这份命令明确了采购和移除要求，但“使用 DeepSeek 实现开发”的第三方边界仍需进一步解释。