Продукты DeepSeek исключают из федеральных гражданских ведомств: Министерство внутренней безопасности США опубликовало в Federal Register приказ по закону FASCSA 20 октября

Вашингтон

Министерство внутренней безопасности США (DHS) 20 октября опубликовало в Federal Register (т. 91, № 201, с. 66346–66350) приказ об исключении продуктов DeepSeek из закупок федеральных гражданских исполнительных ведомств и из их ИТ-систем. Этим приказом, изданным в соответствии с Законом о безопасности цепочек поставок федеральных закупок (FASCSA), DHS потребовало от федеральных гражданских ведомств исключить из закупок продукты DeepSeek и её аффилированных лиц, а уже используемые продукты удалить из своих систем. Название опубликованного уведомления — «Уведомление о приказе об исключении и удалении продуктов DeepSeek из информационно-технологических систем и закупок федеральной гражданской исполнительной власти», номер приказа — 2026-01. Приказ подписал министр внутренней безопасности Маркуэйн Маллин; датой первого обнародования, указанной DHS в тексте приказа, названо 24 июля.

Федеральные гражданские ведомства должны исключить продукты DeepSeek из закупок и удалить их из систем

Первая мера DHS — исключение. Все федеральные гражданские ведомства обязаны исключить DeepSeek, её аффилированных лиц и их продукты из закупок ведомства. По словам DHS, эта мера действует сразу после издания приказа. Исключению подлежат и инструменты, помогающие закупать ИТ-оборудование, программное обеспечение и услуги, такие как утверждённые ведомством перечни продуктов, перечни оборудования поставщиков услуг и электронные торговые площадки.

Вторая мера — удаление. Из ИТ-систем федеральных гражданских ведомств необходимо убрать продукты, предоставленные DeepSeek и её аффилированными лицами, а также продукты и услуги третьих сторон, созданные на основе реализаций DeepSeek. Это тоже нужно выполнить сразу после издания приказа, а ведомство, которое не может этого сделать, обязано подать заявку на исключение из требований. Под ИТ здесь понимаются информационно-коммуникационные технологии в определении статьи 1321 раздела 41 Свода законов США.

Круг аффилированных лиц определяется по Федеральным правилам закупок (FAR, 48 CFR 2.101). Аффилированным лицом считается тот, кто прямо или косвенно контролирует другую сторону или может её контролировать, либо находится под её контролем. То же относится к случаю, когда третья сторона контролирует обе стороны или может их контролировать.

Приказ распространяется на федеральные гражданские исполнительные ведомства, за исключением систем национальной безопасности и систем чувствительной компартментированной информации

DHS ограничило действие приказа федеральными гражданскими исполнительными ведомствами, исключив из него их системы национальной безопасности и системы чувствительной компартментированной информации (SCI). Причину DHS указало в сноске со ссылкой на нормы федерального закона: полномочия министра внутренней безопасности издавать приказы об исключении и удалении не распространяются на области, подведомственные министру обороны и директору национальной разведки (DNI). Министр обороны вправе издавать приказы того же рода в отношении систем Минобороны и систем национальной безопасности, не являющихся системами SCI, а директор национальной разведки — в отношении разведывательного сообщества и систем SCI.

Правовая основа — Закон о безопасности цепочек поставок федеральных закупок 2018 года (FASCSA). Это статьи с 1321 по 1328 раздела 41 Свода законов США; подзаконный акт — часть 201-1 раздела 41 Свода федеральных нормативных актов. По этому закону, если Совет по безопасности федеральных закупок (FASC) рекомендует исключить опасный продукт или услугу из федеральных закупок и ИТ-систем, министр внутренней безопасности, министр обороны и директор национальной разведки могут издавать приказы в пределах своих полномочий. Окончательное правило FASC, опубликованное в Federal Register 26 августа 2021 года, вступило в силу 27 сентября того же года. По словам DHS, министр издал этот приказ после рассмотрения рекомендации FASC и соответствующих доказательств.

DHS назвало риском то, что серверы DeepSeek находятся в Китае и могут собирать данные пользователей

В резюме рисков DHS описало DeepSeek как находящуюся в Китае иностранную компанию в частной собственности. Компания бесплатно и широко предлагает ряд приложений на основе искусственного интеллекта. DHS заявило, что серверы DeepSeek расположены в Китае, а китайская правовая система предоставляет киберструктурам и разведывательным структурам правительства широкие полномочия доступа к инфраструктуре частных компаний.

По словам DHS, модели, которыми DeepSeek управляет напрямую, могут собирать персональные идентификационные данные при создании учётной записи, а также отслеживать пользователей или оставлять цифровой отпечаток. Самые популярные приложения DeepSeek работают так: пользователь вводит информацию в модель и получает ответ. DHS написало, что при использовании такого приложения сотрудниками правительства США или подрядчиками конфиденциальные данные могут попасть в Китай. Переданная таким образом информация, отдельно или в сочетании с общедоступными сведениями, может стать практически применимыми сведениями об американцах или государственных программах, отметило ведомство.

В приказе говорится и о том, что сама модель может содержать вредоносный код или иные уязвимости безопасности. DHS заявило, что исследования безопасности с открытым исходным кодом выявили несколько критических уязвимостей в мобильном приложении DeepSeek для iOS. В сносках в качестве источников DHS привело, в частности, собственное уведомление о безопасности данных от 22 декабря 2020 года, доклад о DeepSeek Специального комитета Палаты представителей США по стратегическому соперничеству между США и Коммунистической партией Китая от 16 апреля 2025 года и аналитическую статью компании NowSecure от 6 февраля 2025 года.

АНБ, CISA и ФБР 8 сентября выпустили отдельное предупреждение о дистилляции, которую ведут китайские ИИ-компании

Агентство национальной безопасности (NSA), Федеральное бюро расследований (FBI) и Агентство по кибербезопасности и безопасности инфраструктуры (CISA) 8 сентября опубликовали бюллетень по кибербезопасности AA26-251A. Он называется «Китайские компании в сфере искусственного интеллекта ведут дистилляцию промышленного масштаба против американских ИИ-компаний». Три ведомства поимённо назвали DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun и Z.AI. Они заявили, что DeepSeek как минимум с конца 2024 года систематически проводит дистилляцию, нацеленную на передовые модели американских ИИ-компаний. Дистилляция признана в исследованиях ИИ законным и полезным методом, но эту деятельность три ведомства оценили как агрессивную и злонамеренную.

В пресс-релизе, опубликованном в тот же день, АНБ заявило, что развитие китайских моделей ИИ может усилить военные и кибернаступательные возможности, которые способны быть направлены против США и их союзников. Аккаунты CISA и АНБ в тот же день сообщили в X о публикации бюллетеня.

Ведомства могут подать письменную заявку на исключение в течение 60 дней после издания приказа

Федеральные исполнительные ведомства вправе запросить исключение у издающего должностного лица DHS в соответствии с 41 CFR 201-1.304(b). Можно просить не применять приказ к данному ведомству, не применять его к определённым действиям или отсрочить срок исполнения. Заявка подаётся в письменной форме в течение 60 дней после издания приказа. В ней должны быть пять элементов: указание на соответствующий приказ, описание той части, исключения из которой испрашивает ведомство, название или описание продукта либо услуги, на которые распространяется исключение, веские основания для предоставления исключения и альтернативные меры по снижению рисков, которые примет ведомство. В качестве примеров веских оснований DHS назвало влияние приказа на способность ведомства выполнять свою ключевую миссию и соображения национального интереса, такие как проверки национальной безопасности, расследования в сфере национальной безопасности и соглашения в сфере национальной безопасности.

CISA рассматривает заявки и письменно уведомляет об одобрении или отклонении. Заявки направляются на адрес FASCSA.Orders@cisa.dhs.gov. Этот же адрес служит каналом для вопросов о поддержке исполнения приказа и об отчётности. Контактное лицо в публикации Federal Register — группа по исполнению приказов FASCSA Отдела кибербезопасности CISA.

DHS рекомендовало федеральным ведомствам до завершения удаления принимать меры по реагированию на риски для систем: отслеживать трафик, входящий в ведомство и исходящий из него, усилить журналирование и контроль в соответствующих системах, чтобы предотвратить утечку данных, а также выявлять и помечать аномальную активность. CISA может оказать техническую помощь ведомствам, которые не имеют внутренних возможностей для исполнения. Министр внутренней безопасности пересматривает приказ в течение одного года, а затем ежегодно, как предусмотрено FASCSA.

Компания может представить возражения в течение 30 дней после рекомендации FASC и добиваться судебного пересмотра в течение 60 дней после приказа

Согласно окончательному правилу FASC, Совет обязан уведомить компанию, названную в рекомендации, о самой рекомендации. В уведомлении указываются критерии, на которые опирался Совет, и информация, лежащая в основе рекомендации, — в той мере, в какой это не противоречит интересам национальной безопасности и правоприменения. Компания в течение 30 дней после получения уведомления может представить информацию и доводы против рекомендации. С учётом ответа компании FASC может изменить рекомендацию или отозвать её. Если этого не происходит, компетентное должностное лицо DHS, Минобороны или DNI может издать приказ на основании рекомендации. Сам FASC приказы не издаёт.

Компания может оспорить и уже изданный приказ. Согласно статье 1327 раздела 41 Свода законов США, компания вправе в течение 60 дней после получения уведомления об издании приказа обратиться за судебным пересмотром. Определять дату вступления приказа в силу и уведомлять об этом компанию должен не FASC, а должностное лицо, издавшее приказ.

Дата, проставленная DHS в тексте приказа, — 24 июля, публикация в Federal Register состоялась 20 октября. Уведомление подписал генеральный советник DHS Джеймс Х. Персивал II; номер досье DHS — DHS-2026-0628. DHS сообщило, что копию подписанного приказа можно найти на regulations.gov по этому номеру. В тексте приказа в строке копий для сведения указан директор Административно-бюджетного управления Белого дома Расселл Вот.

Источники (KST)

• Federal Register 91 FR 66346–66350, 2026-10-20, номер документа 2026-21447 · https://www.govinfo.gov/content/pkg/FR-2026-10-20/pdf/2026-21447.pdf
• Совместный бюллетень NSA, CISA и FBI AA26-251A, 2026-09-08 · https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-251a
• Пресс-релиз NSA · https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4592113/
• X @CISACyber · https://x.com/CISACyber/status/2097398347048837149
• X @NSACyber · https://x.com/NSACyber/status/2097374444062732374