Nowości
DHS nakazuje usunąć DeepSeek z systemów cywilnych agencji federalnych USA
Amerykański Departament Bezpieczeństwa Krajowego zakazał cywilnym agencjom federalnym używania produktów DeepSeek i kazał usunąć istniejące wdrożenia. Zakaz obejmuje też produkty firm trzecich opracowane z użyciem DeepSeek, a eksperci wskazują, że jego zakres jest niejasny.
Departament Bezpieczeństwa Krajowego USA (DHS) nakazał cywilnym agencjom federalnym zaprzestanie używania produktów chińskiej firmy DeepSeek i usunięcie istniejących wdrożeń. Według The Register DHS wydało nakaz w poniedziałek 19 października 2026 roku.
Co dokładnie nakazano
Według The Register DHS poleciło agencjom przestać używać produktów DeepSeek i usunąć istniejące wdrożenia. Zakaz obejmuje, cytując dokument, "wszystkie produkty DeepSeek i podmiotów powiązanych oraz produkty i usługi firm trzecich opracowane z użyciem implementacji DeepSeek".
Computerworld.pl zwraca uwagę, że restrykcje wymuszają na instytucjach państwowych i ich partnerach technologicznych rygorystyczny audyt wykorzystywanych komponentów.
Uzasadnienie DHS
Computerworld.pl, powołując się na urzędowe memoranda, wskazuje na potencjalną możliwość nieautoryzowanego transferu wrażliwych danych rządowych poza granice kraju oraz na podatności takie jak luki wykryte w mobilnych implementacjach modeli. Według tego serwisu decyzja wynika z obaw o integralność łańcucha dostaw oprogramowania.
Już w 2025 roku kongresmeni Darin LaHood i Josh Gottheimer twierdzili, że modele DeepSeek rzekomo zbierają dane o obywatelach USA i przekazują je chińskiemu rządowi.
The Register przypomina, że wątpliwości co do bezpieczeństwa aplikacji DeepSeek na iOS pojawiły się wkrótce po premierze DeepSeek-R1, a raport z grudnia 2025 roku wskazywał m.in. na wycieki danych jawnym tekstem i połączenia z serwerami chińskich firm technologicznych. Serwis zaznacza jednak, że to głównie problemy bezpieczeństwa mobilnego, typowe dla wielu aplikacji, i nie odnoszą się one do ryzyk związanych z przechwytywaniem samych promptów i odpowiedzi.
Niejasny zakres
Największe wątpliwości budzi zapis o produktach firm trzecich. Katie Moussouris z Luta Security ocenia, że zakaz aplikacji i API samego DeepSeek jest wykonalny, ale problemem jest klauzula o podmiotach trzecich.
Rozporządzenie nie mówi, co znaczy "opracowane z użyciem". - Katie Moussouris, Luta Security (cyt. za The Register)
Moussouris wskazuje, że nie ma praktycznego sposobu na weryfikację deklaracji dostawców, a spisy składników oprogramowania AI nie rejestrują użycia narzędzi deweloperskich. Jej zdaniem wersje hostowane w USA unikają większości wymienionych zagrożeń, więc objęcie ich zakazem idzie za daleko.
Moussouris przypomina też, że według NIST DeepSeek jest bardziej podatny na prompt injection niż modele amerykańskie i łatwiej obejść jego zabezpieczenia. Zastrzega jednak, że prompt injection dotyczy każdego modelu, a zabezpieczenia przed jailbreakiem często przeszkadzają obrońcom.
The Register wymienia też pytania bez odpowiedzi: czy zakaz obejmuje bramki AI, takie jak OpenRouter czy Vercel AI Gateway, które mogą domyślnie kierować ruch do DeepSeek, i jak agencje mają rozpoznawać dotknięte produkty. DHS nie odpowiedział od razu na prośbę o komentarz.
Kontekst i znaczenie
Wcześniej DeepSeek blokowały już Pentagon od stycznia 2025 roku, US Navy, NASA i Izba Reprezentantów. Ustawa No DeepSeek on Government Devices Act, zgłoszona w lutym 2025 roku, nie wyszła z komisji. Obecny nakaz obejmuje wszystkie federalne agencje cywilne.
Dla polskich firm bezpośrednich skutków prawnych nie ma, bo zakaz dotyczy amerykańskich agencji. Pośrednio może to jednak dotyczyć dostawców oprogramowania, którzy sprzedają rozwiązania administracji USA i używają DeepSeek w swoich produktach.
