מוצרי DeepSeek מוצאים מסוכנויות פדרליות אזרחיות: צו FASCSA של המחלקה לביטחון המולדת של ארה"ב פורסם ברשומות הפדרליות ב-20 באוקטובר
וושינגטון
המחלקה לביטחון המולדת של ארה"ב (DHS) פרסמה ב-20 באוקטובר ברשומות הפדרליות (כרך 91, מס' 201, עמ' 66346–66350) צו המורה על אי הכללת מוצרי DeepSeek ברכש של הרשות המבצעת האזרחית הפדרלית והסרתם ממערכות טכנולוגיית המידע (IT). במסגרת חוק אבטחת שרשרת האספקה של הרכש הפדרלי (FASCSA), דרשה DHS מסוכנויות פדרליות אזרחיות להדיר מוצרים של DeepSeek ושל החברות הקשורות אליה מהרכש, ולהסיר מוצרים הנמצאים כעת בשימוש ממערכותיהן. כותרת ההודעה היא "הודעה על צווים בדבר אי הכללה והסרה של מוצרי DeepSeek ממערכות טכנולוגיית מידע ורכש של הרשות המבצעת האזרחית הפדרלית", ומספר הצו הוא 2026-01. מזכיר ביטחון המולדת מארוויין מאלין חתם על הצו, ו-DHS ציינה את 24 ביולי כתאריך ההוצאה הראשוני בגוף הצו.
סוכנויות אזרחיות פדרליות נדרשות להדיר מוצרי DeepSeek מהרכש ולהסירם מהמערכות
הצעד הראשון של DHS הוא אי הכללה. כל הסוכנויות האזרחיות הפדרליות מחויבות להדיר את DeepSeek, את החברות הקשורות ל-DeepSeek ואת מוצריהן מרכש הסוכנויות האזרחיות. DHS הצהירה כי צעד זה נכנס לתוקף באופן מיידי עם הוצאת הצו. מאפיינים המסייעים לרכש חומרת IT, תוכנה ושירותים — כגון רשימות מוצרים שאושרו על ידי הסוכנות, רשימות ציוד של ספקי שירות וזירות מסחר אלקטרוני — כפופים אף הם להדרה.
הצעד השני הוא הסרה. מוצרים המסופקים על ידי DeepSeek והחברות הקשורות אליה, כמו גם מוצרים ושירותים של צדדים שלישיים שנוצרו תוך שימוש בהטמעות של DeepSeek, חייבים להיות מוסרים ממערכות ה-IT של הסוכנויות האזרחיות הפדרליות. צעד זה חייב להתבצע אף הוא באופן מיידי עם הוצאת הצו, וסוכנויות שאינן מסוגלות לעמוד בכך נדרשות להגיש בקשה לפטור. בהקשר זה, IT מתייחס לטכנולוגיית מידע ותקשורת כפי שהוגדרה בסעיף 1321 בפרק 41 של קוד החוקים של ארה"ב.
הגדרת החברות הקשורות נקבעת בהתאם להגדרה בתקנות הרכש הפדרליות (48 CFR 2.101). ישות נחשבת לחברה קשורה אם גורם אחד שולט או בעל יכולת לשלוט במישרין או בעקיפין בגורם האחר, או אם צד שלישי שולט או בעל יכולת לשלוט בשניהם. היקף הסוכנויות שעליהן חל צו זה מוגדר אף הוא.
הצו חל על סוכנויות הרשות המבצעת האזרחית הפדרלית, למעט מערכות ביטחון לאומי ומערכות מידע ממודר רגיש
DHS הגבילה את תחולת הצו לסוכנויות הרשות המבצעת האזרחית הפדרלית, והחריגה מתוכו את מערכות הביטחון הלאומי ומערכות המידע הממודר הרגיש של סוכנויות אלו. בהערת שוליים הסבירה DHS את הבסיס לכך באמצעות הוראות חוק פדרליות. סמכותו של מזכיר ביטחון המולדת להוציא צווים להדרה ולהסרה אינה חלה על תחומים שבסמכות שר ההגנה או מנהל המודיעין הלאומי (DNI). שר ההגנה רשאי להוציא צווים זהים עבור מערכות משרד ההגנה ומערכות ביטחון לאומי שאינן מערכות מידע ממודר רגיש, בעוד ש-DNI רשאי לעשות כן עבור קהילת המודיעין ומערכות מידע ממודר רגיש.
החוק שביסוד הצו הוא חוק אבטחת שרשרת האספקה של הרכש הפדרלי משנת 2018 (FASCSA). החוק מופיע בסעיפים 1321 עד 1328 בפרק 41 של קוד החוקים של ארה"ב, ותקנות היישום שלו מפורטות בכותר 41 של תקנות הפדרליות, חלק 201-1. על פי חוק זה, אם המועצה הפדרלית לאבטחת רכש (FASC) ממליצה להדיר מוצרים או שירותים מסוכנים מהרכש הפדרלי וממערכות ה-IT, מזכיר ביטחון המולדת, שר ההגנה וה-DNI רשאים להוציא צווים במסגרת סמכויותיהם. הכלל הסופי של FASC שפורסם ברשומות הפדרליות ב-26 באוגוסט 2021 נכנס לתוקף ב-27 בספטמבר באותה שנה. DHS מסרה כי המזכיר הוציא צו זה לאחר בחינת המלצת FASC והראיות הרלוונטיות. בסיכום הסיכונים של הצו, פירטה DHS את החששות בנוגע ל-DeepSeek.
DHS מציינת כסיכונים את שרתי DeepSeek המוצבים בסין ואיסוף מידע פוטנציאלי על משתמשים
בסיכום הסיכונים תיארה DHS את DeepSeek כחברה זרה בבעלות פרטית שמשרדיה בסין. החברה מספקת באופן נרחב מגוון יישומי בינה מלאכותית ללא תשלום. DHS ציינה כי שרתי DeepSeek ממוקמים בסין, והסבירה כי המסגרת המשפטית בסין מעניקה סמכות נרחבת לגופי הסייבר והמודיעין הממשלתיים לגשת לתשתיות של חברות פרטיות.
לגבי מודלים המופעלים ישירות על ידי DeepSeek, DHS ציינה כי מידע המאפשר זיהוי אישי נאסף במהלך יצירת החשבון, דבר המאפשר מעקב אחר משתמשים או הפקת טביעת אצבע דיגיטלית. היישומים הנפוצים ביותר של DeepSeek פועלים במתכונת של הזנת מידע למודל וקבלת תשובות. DHS הסבירה כי אם עובדי ממשל אמריקאים או קבלנים ישתמשו בהם, נתונים רגישים עלולים לעבור לסין. עוד צוין כי מידע שיועבר באופן זה, בין אם בפני עצמו ובין אם בשילוב עם חומרים גלויים, עלול להפוך למודיעין בר-פעולה בנוגע לאמריקאים או לתוכניות ממשלתיות.
הצו ציין בנוסף כי המודלים עצמם עלולים להכיל קוד זדוני או פרצות אבטחה אחרות. DHS מסרה כי מחקר אבטחה בקוד פתוח זיהה מספר פגיעויות קריטיות באפליקציית המובייל של DeepSeek ל-iOS. כראיות תומכות בהערות השוליים ציטטה DHS, בין היתר, אזהרת אבטחת נתונים של DHS מ-22 בדצמבר 2020; דוח על DeepSeek מ-16 באפריל 2025 של הוועדה המיוחדת של בית הנבחרים לתחרות אסטרטגית בין ארצות הברית למפלגה הקומוניסטית הסינית; וניתוח מ-6 בפברואר 2025 מאת חברת האבטחה NowSecure. במנותק מצו זה, סוכנויות ממשל אמריקאיות פרסמו בספטמבר אזהרה העוסקת בחברות בינה מלאכותית הפועלות מסין.
NSA, CISA ו-FBI פרסמו ב-8 בספטמבר אזהרה נפרדת המזהירה מפני פעילות זיקוק של חברות בינה מלאכותית מסין
הסוכנות לביטחון לאומי (NSA), הלשכה הפדרלית לחקירות (FBI) והסוכנות לאבטחת סייבר ותשתיות (CISA) פרסמו ב-8 בספטמבר את אזהרת הסייבר AA26-251A, שכותרתה "קמפיינים לזיקוק בינה מלאכותית בקנה מידה תעשייתי מצד חברות AI מסין המכוונים נגד חברות AI אמריקאיות". שלוש הסוכנויות ציינו בשמן את DeepSeek, Moonshot AI, עליבאבא, MiniMax, StepFun ו-Z.AI. הסוכנויות ציינו כי DeepSeek מנהלת לפחות מסוף שנת 2024 קמפיינים שיטתיים של זיקוק המכוונים נגד מודלי חזית מובילים של חברות בינה מלאכותית אמריקאיות. בעוד שזיקוק מוכר כטכניקה לגיטימית ומועילה במחקר בינה מלאכותית, שלוש הסוכנויות העריכו פעילות זו כתוקפנית וזדונית.
Industrial-Scale AI distillation campaigns are targeting U.S. frontier AI models using subscription exploitation, centralized request routing, metadata sanitization, & more. Our joint advisory with @NSAGov + @FBI outlines recommended actions. Read more 👉 https://t.co/MKg6YQ84o5 pic.twitter.com/2oSGMms2nj
— CISA Cyber (@CISACyber) 2026년 9월 8일
בהודעה לעיתונות שפורסמה באותו יום, ציינה ה-NSA כי התקדמות במודלי AI סיניים עלולה לשפר יכולות התקפיות צבאיות וסייבר שעלולות להיות מכוונות נגד ארצות הברית ובעלות בריתה. חשבונות ה-X של CISA ושל ה-NSA הודיעו על פרסום האזהרה באותו יום. DHS לא ציינה אזהרה זו כבסיס בהודעתה מ-20 באוקטובר. לא DHS ולא ה-NSA הבהירו מהו הקשר בין שתי הפעולות. הצו קובע הליך פטור עבור סוכנויות המתקשות ביישומו.
China-based AI companies are illicitly distilling U.S. frontier AI capabilities. Read NSA’s new report, co-sealed with @FBI, @CISAgov, highlighting AI knowledge distillation, TTPs used, and recommended mitigations: https://t.co/IgBFOnjXeg pic.twitter.com/JUYg5I08GP
— NSA Cyber (@NSACyber) 2026년 9월 8일
סוכנויות רשאיות לבקש פטור בכתב בתוך 60 יום ממועד הוצאת הצו
סוכנויות ביצוע פדרליות רשאיות לבקש פטור מהגורם המנפיק ב-DHS בהתאם ל-41 CFR 201-1.304(b). סוכנויות רשאיות לבקש כי הצו לא יחול על הסוכנות, לא יחול על פעולות ספציפיות, או שמועד היעד ליישום יידחה. יש להגיש את הבקשה בכתב בתוך 60 יום ממועד הוצאת הצו. הבקשה חייבת לכלול חמישה מרכיבים: זיהוי הצו הרלוונטי, הסבר על היקף הפטור המבוקש, שם או תיאור של המוצר או השירות שלגביהם מבוקש הפטור, נימוקים משכנעים לכך שיש לאשר את הפטור, ואמצעי הפחתה חלופיים שהסוכנות תנקוט כדי לצמצם את הסיכון. כדוגמאות לנימוקים משכנעים ציינה DHS את השפעת הצו על יכולת הסוכנות לבצע את משימת הליבה שלה, וכן שיקולים של אינטרס לאומי כגון סקירות ביטחון לאומי, חקירות ביטחון לאומי והסכמי ביטחון לאומי.
CISA בוחנת את הבקשות ומוסרת הודעה בכתב על אישור או דחייה. יש לשלוח את הבקשות לכתובת FASCSA.Orders@cisa.dhs.gov. אותה כתובת משמשת גם כאיש קשר לסיוע ביישום ולפניות דיווח בנוגע לצו זה. איש הקשר הרשום בהודעת הרשומות הפדרליות הוא צוות יישום צווי FASCSA בחטיבת הסייבר של CISA.
DHS המליצה לסוכנויות פדרליות לנקוט צעדים להתמודדות עם סיכוני המערכות בתקופה שעד להשלמת ההסרה המלאה. הדבר כולל ניטור תעבורת רשת נכנסת ויוצאת, חיזוק הרישום והבקרות במערכות הרלוונטיות למניעת זליגת נתונים, וזיהוי וסימון פעילות חריגה. CISA יכולה לספק סיוע טכני לסוכנויות החסרות יכולת פנימית ליישם את הצו. כפי שנקבע ב-FASCSA, מזכיר ביטחון המולדת יבחן את הצו בתוך שנה ולאחר מכן מדי שנה. צווים מעין אלה מוצאים בהתאם להליכים שנקבעו ב-FASCSA.
ישות כפופה רשאית להגיש תגובה בתוך 30 יום מהמלצת FASC ולעתור לביקורת שיפוטית בתוך 60 יום ממתן הצו
על פי הכלל הסופי של FASC, על המועצה להודיע לישויות ששמן מופיע בהמלצה על דבר ההמלצה. ההודעה כוללת את הקריטריונים שעליהם הסתמכה המועצה ואת המידע התומך בהמלצה, במידה שאינה פוגעת באינטרסים של ביטחון לאומי ואכיפת חוק. ישויות רשאיות להגיש מידע וטענות המתנגדות להמלצה בתוך 30 יום מקבלת ההודעה. FASC עשויה לשנות את ההמלצה או לחזור בה ממנה בהתבסס על תגובת הישות. אחרת, גורמים מוסמכים מ-DHS, ממשרד ההגנה ומ-DNI רשאים להוציא צווים בהתאם להמלצה. FASC אינה מוציאה צווים באופן ישיר.
ישויות רשאיות לערער על הצו גם לאחר הוצאתו. על פי סעיף 1327 בפרק 41 של קוד החוקים של ארה"ב, ישות רשאית לעתור לביקורת שיפוטית בתוך 60 יום מקבלת ההודעה על הוצאת הצו. קביעת תאריך כניסת הצו לתוקף והודעה לישות הן באחריות הגורם המוציא את הצו, ולא באחריות FASC. DHS לא חשפה כיצד הגיבה DeepSeek לצו זה או מתי קיבלה את ההודעה.
התאריך שציינה DHS בגוף הצו הוא 24 ביולי, בעוד שההודעה ברשומות הפדרליות פורסמה ב-20 באוקטובר. DHS לא סיפקה הסבר לפער שבין שני התאריכים. ג'יימס ה. פרסיבל השני, היועץ המשפטי של DHS, חתם על ההודעה, ומספר התיק ב-DHS הוא DHS-2026-0628. DHS ציינה כי ניתן לאתר עותק של הצו החתום באתר regulations.gov באמצעות חיפוש מספר זה. ראסל ווט, מנהל משרד הניהול והתקציב בבית הלבן, נרשם כמכותב בצו.
מקורות (KST)
- הרשומות הפדרליות 91 FR 66346–66350, 2026-10-20, מספר מסמך 2026-21447 · https://www.govinfo.gov/content/pkg/FR-2026-10-20/pdf/2026-21447.pdf
- אזהרה משותפת של NSA, CISA ו-FBI מס' AA26-251A, 2026-09-08 · https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-251a
- הודעה לעיתונות של NSA · https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4592113/
- X @CISACyber · https://x.com/CISACyber/status/2097398347048837149
- X @NSACyber · https://x.com/NSACyber/status/2097374444062732374