DeepSeek製品を連邦民間機関から排除、米国土安全保障省のFASCSA命令が10月20日付連邦官報で公示

ワシントン

米国土安全保障省（DHS）は10月20日付の連邦官報（第91巻201号、66346〜66350ページ）において、ディープシーク（DeepSeek）製品を連邦民間行政機関の調達およびITシステムから排除するよう命じる命令を告示した。DHSは連邦調達サプライチェーンセキュリティ法（FASCSA）に基づくこの命令により、ディープシークおよびその系列会社の製品を調達から除外し、現在使用されている製品をシステムから除去するよう連邦民間機関に要求した。告示の表題は「連邦民間行政機関の情報技術システムおよび調達からのディープシーク製品の除外および除去に関する命令通知」で、命令番号は2026-01である。マークウェイン・マリン国土安全保障長官が命令に署名し、DHSが命令文中で初版発行日として表記した日付は7月24日である。

連邦民間機関、ディープシーク製品を調達から除外・システムから除去へ

DHSの第1の措置は除外である。すべての連邦民間機関は、ディープシーク、その系列会社、およびこれらの製品を民間機関の調達から除外しなければならない。DHSはこの措置について、命令の発令直後から効力を生じるとしている。機関承認済み製品リスト、サービスプロバイダー機器リスト、電子商取引マーケットプレイスなど、ITハードウェア、ソフトウェア、サービスの調達を円滑にする機能も除外の対象となる。

第2の措置は除去である。ディープシークおよびその系列会社が提供する製品、ならびにディープシークの実装を利用して作成されたサードパーティの製品およびサービスを、連邦民間機関のITシステムから撤去しなければならない。これも発令直後に履行する必要があり、履行できない機関は例外を申請しなければならない。ここでいうITとは、合衆国法典第41編第1321条で定義された情報通信技術を指す。

系列会社の範囲は連邦調達規則（48 CFR 2.101）の定義に従う。一方が他方を直接的または間接的に支配しているか、支配する権限を有していれば系列会社に該当する。第三者が双方を支配しているか、支配する権限を有している場合も同様である。本命令が適用される機関の範囲も定められている。

命令は国家安全保障システムと極秘区画情報システムを除く連邦民間行政機関に適用

DHSは命令の適用対象を連邦民間行政機関に限定し、これら機関の国家安全保障システムおよび極秘区画情報システムは対象から除外した。DHSは脚注において、その理由を連邦法の条項に基づき説明している。国土安全保障長官の除外・除去命令権限は、国防長官および国家情報長官（DNI）の管轄下にある領域には及ばない。国防総省のシステムおよび機密区画情報システム以外の国家安全保障システムについては国防長官が、インテリジェンス・コミュニティおよび機密区画情報システムについてはDNIが、それぞれ同種の命令を発令することができる。

根拠法は2018年連邦調達サプライチェーンセキュリティ法（FASCSA）である。合衆国法典第41編第1321条から第1328条が同法にあたり、施行規則は連邦規則集第41編第201-1部にある。同法に基づき、連邦調達セキュリティ評議会（FASC）が危険な製品やサービスを連邦調達およびITシステムから排除するよう勧告した場合、国土安全保障長官、国防長官、DNIがそれぞれの権限の範囲内で命令を発令できる。2021年8月26日に連邦官報に掲載されたFASCの最終規則は、同年9月27日から施行された。DHSは今回の命令について、FASCの勧告と関連証拠を検討した上で長官が発令したと明らかにした。DHSは命令文中のリスク要約において、ディープシークに関する懸念点を整理している。

DHS、中国内サーバー設置と利用者情報収集の潜在リスクを指摘

DHSはリスク要約の中で、ディープシークを中国に拠点を置く外国の民間所有企業と説明した。同社は複数の人工知能（AI）アプリケーションを無料で幅広く提供している。DHSはディープシークのサーバーが中国国内にあると指摘し、中国の法体系が政府のサイバー・情報機関に対し、民間企業のインフラにアクセスする広範な権限を認めていると説明した。

ディープシークが直接運用するモデルの場合、アカウント作成時に個人識別情報が収集され、利用者の追跡やデジタルフィンガープリント（電子指紋）の採取が可能になるとDHSは指摘した。ディープシークで最も広く利用されているアプリケーションは、モデルに情報を入力して回答を受け取る方式である。米政府職員や契約業者が使用した場合、機微（センシティブ）なデータが中国へ移転される恐れがあるとDHSは説明した。このようにして移転された情報は、単独であれ公開資料と結合されたものであれ、米国人や政府プログラムに関する実用的なインテリジェンス（実行可能な情報）になり得るとしている。

また、モデル自体に悪意のあるコードやその他のセキュリティ脆弱性が含まれている可能性があるとも記されている。DHSは、オープンソースのセキュリティ研究により、ディープシークのiOS向けモバイルアプリにおいて複数の致命的な脆弱性が確認されたと明らかにした。DHSは脚注の根拠資料として、2020年12月22日のDHSデータセキュリティ勧告、2025年4月16日の米下院米中戦略競争特別委員会によるディープシーク報告書、2025年2月6日のセキュリティ企業NowSecureによる分析記事などを挙げた。この命令とは別に、米政府機関は9月に中国拠点のAI企業を対象とした勧告を発表していた。

NSA・CISA・FBI、9月8日に中国系AI企業の蒸留活動を警告する共同勧告を発表

国家安全保障局（NSA）、連邦捜査局（FBI）、サイバーセキュリティ・インフラセキュリティ庁（CISA）は9月8日、サイバーセキュリティ勧告AA26-251Aを公開した。表題は「中国拠点の人工知能企業が米国のAI企業を対象に産業規模の蒸留活動を展開」である。3機関はディープシーク、Moonshot AI、アリババ、MiniMax、StepFun、Z.AIを名指しした。3機関は、ディープシークが少なくとも2024年後半から、米国のAI企業の先端フロンティアモデルを対象に組織的な蒸留活動を行ってきたと明らかにした。蒸留はAI研究において正当かつ有用な技術と認められているものの、この活動は攻撃的かつ悪意に満ちたものであると3機関は評価した。

NSAは同日のプレスリリースで、中国製AIモデルの進展が、米国および同盟国を標的とし得る軍事・サイバー攻撃能力を強化する可能性があると表明した。CISAとNSAの公式アカウントは同日、X（旧ツイッター）上で勧告の公開を通知した。DHSは10月20日の告示例において、この勧告を根拠として挙げていない。2つの措置がどのような関係にあるのかについては、DHSもNSAも明らかにしていない。命令は、履行が困難な機関に対して例外手続きの道を開いている。

発令後60日以内に書面で例外申請が可能

連邦行政機関は、連邦規則集第41編第201-1.304条(b)に基づき、DHSの発令担当官に例外（適用免除）を申請することができる。命令を当該機関に適用しないよう求めることや、特定の行為に適用しないこと、または履行期限の延長を求めることが可能である。申請は命令発令後60日以内に書面で行わなければならない。申請書には次の5項目を記載する必要がある。当該命令の特定、例外を求める範囲の説明、例外対象となる製品またはサービスの名称や説明、例外を認めるべき説得力のある理由、およびリスクを軽減するために機関が講じる代替的緩和措置である。説得力のある理由の例として、DHSは、命令が機関の主要任務の遂行能力に及ぼす影響や、国家安全保障上の審査、国家安全保障上の捜査、国家安全保障上の協定といった国益に関する配慮を挙げた。

CISAは申請を検討し、書面で承認または不承認を通知する。申請はFASCSA.Orders@cisa.dhs.gov宛てに送付する。同アドレスは、本命令の履行支援や報告に関する問い合わせ窓口も兼ねている。連邦官報の告示における問い合わせ先は、CISAサイバーセキュリティ部のFASCSA命令履行チームである。

DHSは、完全な除去が完了するまでの間、連邦機関がシステムリスクに対処する措置を講じるよう勧告した。機関内外を出入りするトラフィックを監視し、該当システムに対するログ記録と統制を強化してデータ流出を防ぎ、異常なアクティビティを検知して識別・警告を行うといった内容である。CISAは、履行するための内部能力が不足している機関に技術支援を提供することができる。国土安全保障長官は、FASCSAの定めに従い命令を1年以内に見直し、その後も毎年見直しを行う。このような命令は、FASCSAが定めた手続きを経て発令される。

FASC勧告後30日以内に意見提出可能、命令後は60日以内に司法審査請求が可能

FASCの最終規則によると、評議会は勧告に対象として挙げられた企業に対し、勧告の事実を通知しなければならない。通知には、評議会が依拠した基準と、国家安全保障および法執行上の利益に反しない範囲で勧告の根拠となった情報が含まれる。企業は通知を受領してから30日以内に、勧告に異議を唱える情報や主張を提出することができる。FASCは企業の回答を検討した上で、勧告の修正または撤回を行うことができる。そうでない場合、DHS、国防総省、DNIの管轄当局者が勧告に基づいて命令を発令できる。FASC自体が直接命令を発令することはない。

企業は命令の発令後も不服を申し立てることができる。合衆国法典第41編第1327条に基づき、企業は命令が発令されたという通知を受領してから60日以内に司法審査を請求することができる。命令の発効日を定め、企業に通知するのはFASCではなく、命令を発令した当局者の役割である。DHSは今回の命令に関連し、ディープシークがどのような回答を行ったか、また通知をいつ受け取ったかについては公表していない。

DHSが命令文に記載した日付は7月24日であり、連邦官報での告示は10月20日である。DHSはこの2つの日付の間のタイムラグについて説明していない。ジェームズ・H・パーシバル2世DHS法務顧問が告示に署名し、DHSのドケット（整理）番号はDHS-2026-0628である。DHSは、署名済みの命令書の写しについて、regulations.govでこの番号を検索すれば確認できると案内した。命令書には、ラッセル・ヴォート米行政管理予算局（OMB）局長が写しの送付先（CC）として記載されている。

出所（KST）

• 連邦官報 91 FR 66346–66350, 2026-10-20, 文書番号 2026-21447 · https://www.govinfo.gov/content/pkg/FR-2026-10-20/pdf/2026-21447.pdf
• NSA・CISA・FBI共同勧告 AA26-251A, 2026-09-08 · https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-251a
• NSA報道発表資料 · https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4592113/
• X @CISACyber · https://x.com/CISACyber/status/2097398347048837149
• X @NSACyber · https://x.com/NSACyber/status/2097374444062732374