وزارت امنیت داخلی آمریکا (DHS) روز دوشنبه دستوری صادر کرد که آژانس‌های غیرنظامی فدرال را ملزم می‌کند استفاده از محصولات فناوری آزمایشگاه هوش مصنوعی چینی دیپ‌سیک (DeepSeek) را متوقف کنند و هر پیاده‌سازی موجود را حذف کنند. این دستور برای بازرسی عمومی در فدرال رجیستر (Federal Register) منتشر شده است.
دامنه دستور؛ از اپلیکیشن و API تا محصولات ثالث
بر اساس متن دستور، ممنوعیت شامل همه محصولات دیپ‌سیک و شرکت‌های وابسته به آن و همچنین محصولات و خدمات ثالثی می‌شود که با استفاده از پیاده‌سازی‌های دیپ‌سیک توسعه یافته‌اند. بخش نخست ممنوعیت مستقیماً اپلیکیشن‌ها و رابط برنامه‌نویسی کاربردی (API) دیپ‌سیک را هدف می‌گیرد، اما بخش دوم دامنه را به زنجیره تأمین هوش مصنوعی گسترش می‌دهد.
با این حال، دستور تعریف دقیقی از عبارت «توسعه یافته با استفاده از» (developed using) ارائه نمی‌دهد. این ابهام می‌تواند به محصولاتی اشاره داشته باشد که مدل‌های دیپ‌سیک را از طریق API فراخوانی می‌کنند، یا به نرم‌افزاری که توسعه‌دهندگانش هنگام نوشتن یا آزمایش کد از دیپ‌سیک استفاده کرده‌اند.
دروازه‌های هوش مصنوعی و ریسک استفاده ناخواسته
خدمات دروازه هوش مصنوعی (AI Gateway) پیچیدگی دیگری ایجاد می‌کنند. OpenRouter و Vercel AI Gateway هر دو مدل‌های دیپ‌سیک را از طریق APIهای خود در دسترس قرار می‌دهند و به‌طور پیش‌فرض درخواست‌ها را به ارائه‌دهنده‌ای مسیریابی می‌کنند که مناسب‌ترین گزینه تشخیص داده شود. آژانس‌هایی که به این دروازه‌ها تکیه می‌کنند و ارائه‌دهندگان را محدود نمی‌کنند، ممکن است بدون آگاهی از مدل‌های دیپ‌سیک استفاده کنند.
کیتی موسوریس (Katie Moussouris)، بنیان‌گذار و مدیرعامل Luta Security، می‌گوید ممنوعیت اپلیکیشن و API خود دیپ‌سیک عملی است، اما بند مربوط به محصولات ثالث این‌گونه نیست. به گفته او، فهرست مواد نرم‌افزاری هوش مصنوعی (AI SBOM) ثبت نمی‌کند که توسعه‌دهندگان از چه ابزارهایی استفاده کرده‌اند؛ در نتیجه هر فروشنده باید تأیید کند که هیچ‌یک از اجزای مورد اتکای آن هرگز با دیپ‌سیک در تماس نبوده است، بدون آنکه راه عملی برای راستی‌آزمایی وجود داشته باشد.
موسوریس همچنین اعمال این دستور بر نسخه‌های میزبانی‌شده در آمریکا از مدل‌های دیپ‌سیک را بیش از حد می‌داند، زیرا به گفته او خطرهایی که دستور به آن‌ها اشاره می‌کند بیشتر درباره انتقال داده به سرورهای دیپ‌سیک در چین است.
نگرانی‌های امنیتی و ارزیابی NIST
دستور تنها می‌گوید که این مدل ممکن است حاوی بدافزار یا آسیب‌پذیری باشد. ارزیابی‌های مؤسسه ملی استانداردها و فناوری آمریکا (NIST) نشان داده است که دیپ‌سیک در مقایسه با مدل‌های آمریکایی بیشتر در معرض تزریق پرامپت (Prompt Injection) قرار دارد و جیلبریک (Jailbreak) آن آسان‌تر است. سخنگوی DHS به درخواست اظهارنظر پاسخ نداد.
محدودیت‌های پیشین دیپ‌سیک در آمریکا
مقام‌های آمریکایی از زمان انتشار DeepSeek-R1 در اوایل ۲۰۲۵ درباره ممنوعیت دیپ‌سیک گفت‌وگو کرده‌اند. در ۶ فوریه ۲۰۲۵، نمایندگان دارین لاهود و جاش گاتهایمر لایحه «ممنوعیت دیپ‌سیک در دستگاه‌های دولتی» (No DeepSeek on Government Devices Act) را معرفی کردند که هرگز از کمیته خارج نشد.
آژانس سیستم‌های اطلاعاتی دفاعی (DISA) از ژانویه ۲۰۲۵ مسدودسازی دیپ‌سیک در شبکه‌های پنتاگون را آغاز کرد و نیروی دریایی آمریکا، ناسا و مجلس نمایندگان نیز اقدام‌های مشابهی انجام دادند. برخی دولت‌های ایالتی هم محدودیت‌هایی اعمال کردند.
پژوهشگران امنیتی همچنین مشکلاتی را در اپلیکیشن‌های موبایل دیپ‌سیک گزارش کرده‌اند. گزارشی در دسامبر ۲۰۲۵ درباره اپلیکیشن‌های اندروید و iOS به نشت اطلاعات به‌صورت متن ساده (Plaintext)، پیوند به سرورهای شرکت‌های فناوری چینی و نبود پین‌کردن SSL (SSL Pinning) اشاره کرده است.
اقدامات پیشنهادی برای سازمان‌ها
سازمان‌هایی که با آژانس‌های فدرال همکاری می‌کنند یا به‌سادگی می‌خواهند از مدل‌های دیپ‌سیک دوری کنند، می‌توانند این اقدام‌ها را انجام دهند:
- تنظیمات ارائه‌دهنده را در دروازه‌های هوش مصنوعی مانند OpenRouter یا Vercel AI Gateway بررسی کنند و مسیریابی را به ارائه‌دهندگان مدل تأییدشده محدود کنند.
- ابزارهای داخلی و خدمات ثالثی را که مدل‌های دیپ‌سیک را به‌صورت مستقیم یا از طریق دروازه فراخوانی می‌کنند فهرست کنند.
- از فروشندگان بپرسند آیا محصولاتشان از پیاده‌سازی‌های دیپ‌سیک استفاده می‌کند یا نه، با توجه به اینکه دستور تعریف دقیقی از این عبارت ارائه نکرده است.
DHS هنوز روشن نکرده است که آژانس‌ها باید بند محصولات ثالث را چگونه تفسیر کنند یا آیا نسخه‌های میزبانی‌شده در آمریکا از مدل‌های دیپ‌سیک نیز مشمول همان الزام حذف می‌شوند یا خیر.