美国正式签署：联邦系统清退 DeepSeek，第三方产品一并清除

原创

网络安全透视镜
网络安全透视镜

网络安全透视镜

2026年10月20日 16:22
新加坡

去阅读

QUOTE

2026 年 10 月 19 日，美国国土安全部把一份已经生效近三个月的命令放上了《联邦公报》的预公布页面。次日，这份编号 2026-21447、卷宗号 DHS-2026-0628、正文 6 页的公告正式刊出，要求联邦民事行政机构 停止采购并清除 DeepSeek 相关技术 。

CNBC 在当天上午的报道里把这件事放进了“中美 AI 裂痕”的框架。这个框架没错，但如果只看标题，很容易漏掉这份文件真正锋利的地方：它管的不只是 DeepSeek 自家的 App 和 API，还包括 “使用 DeepSeek 实现方案开发的第三方产品与服务” 。一句 implementation，把整条下游供应链都卷了进来。

核心事实速览

本文看点

01

一纸迟到三个月的命令

02

它咬住的是第三方

03

证据与措施之间的裂缝

01

THE ORDER

一纸迟到三个月的命令

— 杭州一家商场内的 DeepSeek 标识，摄于 2026 年 4 月 23 日。图片来源：Long Wei / VCG via Getty Images，经 CNBC 刊发

命令的形式并不新鲜。它走的是 FASCSA 这条已经用过几次的通道：先由联邦采购安全委员会审查给出建议，再由国土安全部部长签发排除令与移除令。文件正文之外，附了一份带手写签名的命令原件扫描页， 首页清清楚楚写着 Original Release Date：July 24, 2026 。

— 命令原件首页：令号 #2026-01，原始释放日期 2026 年 7 月 24 日，签发人国土安全部部长 Markwayne Mullin。图片来源：联邦公报 FR Doc. 2026-21447 附录

也就是说，这份禁令在 7 月底就已经生效，却在 10 月 19 日才第一次被公众看见。CNBC 与路透社的报道都点出了这个时间差；而按 7 月 24 日起算，机构申请例外的 60 天窗口在 9 月 22 日前后就已关闭， 比命令对外公开早了近四周 （此为依据“签发后 60 天”的推算，非文件明示）。

一处尚未判定的信息冲突：CyberScoop 报道称，公告所附的是部长 6 月 26 日签发的一封信，并据此认为禁令已实施数月；而命令原件首页载明的原始发布日期为 7 月 24 日。两份表述相差近一个月，本文并列呈现，不作判定。CNBC 采用的是 7 月 24 日这一日期。

两项动作，一个 60 天

命令的“必做动作”只有两条，但两条都是即时生效。CISA 的 FASCSA 命令实施团队负责监督执行与例外审核，联系方式直接写在公告正文里。

1

排除：把 DeepSeek 及其关联实体、以及其产品，从联邦民事机构采购中剔除，覆盖机构批准产品清单、服务商设备清单、电子采购市场等各类采购通道。

2

移除：从机构信息技术系统中清走 DeepSeek 及关联实体的产品，以及使用 DeepSeek 实现方案开发的第三方产品与服务；做不到就按程序申请例外。

— 命令第 3 页：Required Actions 与 Exceptions 条款，例外须在签发后 60 天内书面提交。图片来源：联邦公报 FR Doc. 2026-21447 附录

在完成移除之前，命令“鼓励”各机构做几件事：监控进出流量、加强日志、对相关系统加上数据外泄控制、识别并标记异常活动。用的是 encourage，不是 require——这也说明文件的态度更像 “先关掉水龙头，再回头查有没有漏过” 。此外，国土安全部须在一年内复审该命令，此后每年复审一次。

02

THE RATIONALE

DHS 列出的风险清单

命令对风险的描述集中在两页之内，措辞比多数媒体转述更克制。用词是“present multiple threat vectors”—— 构成多重威胁向量 ，不是“已经造成损害”。具体拆开来是四类：

数据落点

DeepSeek 服务器位于中国境内，中国法律体系赋予政府对境内企业数据较宽的调取权限。

个人信息

由 DeepSeek 自营托管的产品会收集个人身份信息，并可能对使用者做“数字指纹”追踪。

提示词外流

提示—响应机制本身意味着输入内容要提交给模型，政府雇员的输入可能随之转移到中国境内。

模型风险

模型本身“可能包含恶意代码或其他安全漏洞”（may contain）；脚注援引的是 2025 年 2 月安全公司 NowSecure 对 DeepSeek iOS 移动应用的一项审计。

REFERENCE

“The transfer of the aforementioned information to the PRC, either independently or in combination with publicly available data, could produce actionable intelligence on U.S. persons and/or government programs. The models themselves may contain malware or other security vulnerabilities.”

命令原文，第 2 页。译：上述信息无论是单独还是与公开数据结合后转移至中国，都可能形成针对美国人员与政府项目的可用情报；模型本身亦可能含恶意代码或其他安全漏洞。

值得注意的是，这四类理由里，前三类明确指向“由 DeepSeek 托管运行”的形态——服务器在哪、数据交给谁、提示词发送给谁。第四类关于模型漏洞的举证，落在 iOS 客户端上。 命令本身没有区分“托管调用”与“下载权重在自有服务器上运行” ，这一点后面还会再谈。

03

TIMELINE

这不是一次突袭，是二十一个月的收口

CNBC 在报道里用了一句话概括背景：自 2025 年初 DeepSeek 走红以来，美国已有多个政府机构各自设限。这些限制此前是 各机构自行裁量的拼盘 ，现在被一份统一命令收拢成一条规则。

时间线里有一个容易被忽略的细节：2026 年 10 月 17 日，DeepSeek 刚开源了新一版 V4.1-Flash-1017；两天后，这份 7 月就签好的命令被放上公告栏。两件事没有任何文件上的关联，但先后顺序本身已经足够说明问题—— 开放权重在往前跑，管制在往回圈 。

「在美国开发者手里，最好用的开放权重越来越多来自中国；而美国政府正在画的，是这些权重可以跑在哪里的边界。」

04

THE SUPPLY CHAIN

真正被卡的是那些“套了壳”的产品

从账面看，这份禁令对 DeepSeek 的营收影响有限。联邦民事机构本来极少正式采购其产品，CNBC 也没有提到任何一例存量采购。真正产生连锁反应的地方在美国的服务商一侧： 只要某个 SaaS 工具的底层调用了 DeepSeek，它就可能被认定为“使用 DeepSeek 实现方案开发” ，从而一起从联邦系统里被清出去。

问题在于，公告并没有给出一个统一的技术判据来界定 implementation。微调过的版本、量化后的权重、与其他模型合并的产物，界面上早已不再出现 deepseek 字样，但模型卡与训练记录里仍留着血统。命令写的是一句话，落到采购官桌上就变成一张问卷： 你的基座模型是谁，训练溯源怎么证明 。

NOTE

传导路径已经存在：联邦采购条例中的 FAR 52.204-29 / 52.204-30 条款会把要求逐级压给一级承包商与分包商，52.204-30 还要求承包商在识别出受覆盖产品后及时向合同官报告。命令本身只约束联邦机构能否买、能否用，但合同条款会把这层约束一路推下去。

这也意味着，对卖 AI 工具的公司来说，模型物料清单、部署位置记录、数据流图、供应商声明，正在从“架构备注”变成“投标证据”。

至于国内厂商最关心的边界，命令写得相当清楚： 私有化部署与自托管不在禁止之列 ，命令约束的是联邦机构“买什么、用什么”，并不禁止企业客户在自有环境里跑开放权重。同时，它也没有新增任何出口管制措施。

05

THE GAPS

三处裂缝

以下为分析观点，不属于文件事实。

第一处裂缝，是托管形态与本地形态被装进了同一个句子里。命令列举的风险，绝大多数成立于“数据交给 DeepSeek 的服务器”这一前提。但开放权重下载到机构自己的机器上运行时，提示词并不发往杭州。命令没有为这两种形态划出差别，执行层面就只能靠 CISA 后续的口径来补。

第二处裂缝，是名单上只有一家。CyberScoop 的报道提到，月之暗面的 Kimi 与阿里的 Qwen 同样被美国国家安全官员视作关注对象，但 命令只点名了 DeepSeek 。如果判断依据是“模型来自中国、服务器在中国”，那这条线画在单一家公司身上，逻辑上就留有缺口；如果依据是别的东西，文件里并没有说清楚。

第三处裂缝，是证据强度与措施强度的错位。“可能含恶意代码”用的是 may，而支撑它的案例是 2025 年 2 月对 iOS 客户端的一次审计——客户端的问题与开放权重本身的风险，并不是同一件事。这不等于风险不存在，只是 把一条供应链管制令建立在一次客户端审计上，说服力打了折扣 。

三处裂缝叠在一起，指向同一个技术现实：管制的颗粒度是“公司”，而模型的分发颗粒度是“权重文件”。前者有形，可以列入清单、写进合同；后者无形，一旦开源，就只能靠下游的自律与采购问卷去追。

而这正是这份命令作为“范式样本”的价值所在。过去几年，这套供应链工具主要落在卡巴斯基、Acronis 这类安全软件厂商身上，对华为、海康等企业的限制走的则是实体清单与 FCC 等其它路径——管的都是看得见的硬件与软件包。 这是第一次，供应链管制伸到了商用大模型这一层 。先例一旦成立，后来者只需要换一个公司名。

06

WHAT TO WATCH

接下来盯这四个变量

对国内大模型厂商与出海企业而言，这份文件最实用的部分不是态度，而是它留下的模糊地带。判断这件事会走多远，值得盯住四个变量。

1

CISA 对 implementation 的首个书面答复——它决定审计边界到底画在哪，是只看官方 API，还是追到微调与蒸馏链。

2

是否出现镜像命令——Kimi、Qwen 等开放权重模型会不会被同样处理，这是分水岭指标。

3

FAR 条款是否修订——若出现针对 AI 模型血统的专门条款，管制的重心就从“买谁”转向“怎么证明”。

4

双方的官方回应——截至 CNBC 发稿，DeepSeek 与中国驻英使馆均未回应置评请求。

企业侧能做的准备，其实也是这四条的镜像：把自己的模型用量梳理成一份可出示的清单，把训练与微调的来源记录下来，把客户按“联邦直销、国防合同、州政府合同、私营企业”分开评估—— 四类客户的合规义务完全不同，一刀切放弃市场是最差解 。

∞

EPILOGUE

写在最后

把这件事拆到最小，它其实是一个场景冲突：政府系统在清退，开发者仍在调用。前者靠清单和合同执行，后者靠 API 价格和评测榜执行。两份账本各自成立，彼此不打架，也很难说服对方。

对写代码的人来说，这份命令的实际影响大概只有一句话：如果你的产品要卖给美国联邦民事机构，你的模型出身从此需要一份书面说明。对观察产业的人来说，更值得记住的是那个文号—— 2026-21447 。它是“模型血统”第一次成为采购合规项的起点。

一纸公报管得住采购单，管不住下载量。

END

我是 网络安全透视镜，关注 AI 产业与安全合规的一线观察。

如果你觉得今天这篇有收获，欢迎 点赞、在看、转发 三连，我们下篇见。