딥시크 제품 연방 민간기관서 퇴출, 美 국토안보부 FASCSA 명령 10월 20일 연방관보 공고

워싱턴

미국 국토안보부(DHS)가 10월 20일 연방관보(91권 201호, 66346~66350쪽)에 딥시크(DeepSeek) 제품을 연방 민간 행정부처의 조달과 IT 시스템에서 빼라는 명령을 공고했다. DHS는 연방조달공급망보안법(FASCSA)에 따른 이 명령으로 딥시크와 계열사의 제품을 조달에서 제외하고, 이미 쓰고 있는 제품은 시스템에서 제거하라고 연방 민간기관에 요구했다. 공고의 제목은 「연방 민간 행정부 정보기술 시스템과 조달에서 딥시크 제품의 제외와 제거에 관한 명령 통지」이고, 명령 번호는 2026-01이다. 마크웨인 멀린 국토안보부 장관이 명령에 서명했고, DHS가 명령문에 최초 공개일로 표기한 날은 7월 24일이다.

연방 민간기관은 딥시크 제품을 조달에서 제외하고 시스템에서 제거해야 한다

DHS의 첫 번째 조치는 제외다. 모든 연방 민간기관은 딥시크와 딥시크 계열사, 그리고 이들의 제품을 민간기관 조달에서 빼야 한다. DHS는 이 조치가 명령 발령 직후부터 효력이 있다고 밝혔다. 기관이 승인한 제품 목록, 서비스 제공업체 장비 목록, 전자상거래 장터처럼 IT 하드웨어와 소프트웨어, 서비스 조달을 돕는 기능도 제외 대상이다.

두 번째 조치는 제거다. 딥시크와 계열사가 제공한 제품, 그리고 딥시크 구현을 써서 만든 제3자의 제품과 서비스를 연방 민간기관의 IT 시스템에서 걷어 내야 한다. 이 역시 발령 직후 이행해야 하고, 이행하지 못하는 기관은 예외를 신청해야 한다. 여기서 IT는 미 법전 41편 1321조가 정의한 정보통신기술을 뜻한다.

계열사의 범위는 연방조달규정(48 CFR 2.101)의 정의를 따른다. 한쪽이 다른 쪽을 직접 또는 간접으로 지배하거나 지배할 수 있으면 계열사다. 제3자가 양쪽을 모두 지배하거나 지배할 수 있는 경우도 해당한다. 이 명령이 적용되는 기관의 범위도 정해져 있다.

명령은 국가안보시스템과 보안 구획 정보 시스템을 뺀 연방 민간 행정부처에 적용된다

DHS는 명령의 적용 대상을 연방 민간 행정부처로 한정했고, 이들 부처의 국가안보시스템과 보안 구획 정보 시스템은 범위에서 뺐다. DHS는 각주에서 이유를 연방법 조항으로 설명했다. 국토안보부 장관의 제외·제거 명령 권한은 국방장관과 국가정보국장(DNI)의 권한이 닿는 곳에는 미치지 않는다. 국방부 시스템과 민감 구획 정보 시스템이 아닌 국가안보시스템은 국방장관이, 정보 공동체와 민감 구획 정보 시스템은 DNI가 각각 같은 종류의 명령을 낼 수 있다.

근거 법은 2018년 연방조달공급망보안법(FASCSA)이다. 미 법전 41편 1321조부터 1328조까지가 이 법이고, 시행 규정은 연방규정집 41편 201-1부다. 이 법에 따라 연방조달보안위원회(FASC)가 위험한 제품이나 서비스를 연방 조달과 IT 시스템에서 빼라고 권고하면, 국토안보부 장관과 국방장관, DNI가 각자의 권한 범위에서 명령을 낼 수 있다. 2021년 8월 26일 연방관보에 실린 FASC 최종 규칙은 같은 해 9월 27일부터 시행됐다. DHS는 이번 명령을 FASC의 권고와 관련 증거를 검토한 뒤 장관이 발령했다고 밝혔다. DHS는 명령문의 위험 요약에서 딥시크의 문제점을 정리했다.

DHS는 딥시크가 중국에 서버를 두고 이용자 정보를 모을 수 있다는 점을 위험으로 꼽았다

DHS는 위험 요약에서 딥시크를 중국에 있는 외국 민간 소유 기업이라고 설명했다. 이 기업은 여러 인공지능 응용 프로그램을 무료로 널리 제공한다. DHS는 딥시크의 서버가 중국에 있다고 밝혔고, 중국 법체계가 정부의 사이버·정보 기능이 민간 기업의 인프라에 접근하는 폭넓은 권한을 허용한다고 설명했다.

딥시크가 직접 운영하는 모델의 경우 계정 생성 과정에서 개인 식별 정보를 모으고 이용자를 추적하거나 디지털 지문을 남길 수 있다고 DHS는 밝혔다. 딥시크의 가장 많이 쓰이는 응용 프로그램은 모델에 정보를 입력하고 답을 받는 방식이다. 미 정부 직원이나 계약업체가 쓰면 민감한 데이터가 중국으로 넘어갈 수 있다고 DHS는 설명했다. 이렇게 넘어간 정보는 단독으로든 공개된 자료와 결합해서든 미국인이나 정부 프로그램에 대한 실행 가능한 정보가 될 수 있다고 했다.

모델 자체에 악성 코드나 다른 보안 취약점이 있을 수 있다는 내용도 있다. DHS는 오픈소스 보안 연구가 딥시크의 iOS 모바일 앱에서 여러 치명적 취약점을 확인했다고 밝혔다. DHS는 각주에 근거 자료로 2020년 12월 22일 DHS 데이터 보안 권고문, 2025년 4월 16일 미 하원 미국·중국공산당 전략경쟁특별위원회의 딥시크 보고서, 2025년 2월 6일 보안업체 NowSecure의 분석 글 등을 들었다. 이 명령과는 별개로 미국 정부 기관들이 9월에 중국 기반 AI 기업을 다룬 권고문을 냈다.

NSA·CISA·FBI는 9월 8일 중국 기반 AI 기업의 증류 활동을 경고하는 별도 권고문을 냈다

국가안보국(NSA)과 연방수사국(FBI), 사이버보안·인프라보안국(CISA)은 9월 8일 사이버보안 권고문 AA26-251A를 공개했다. 제목은 「중국 기반 인공지능 기업들이 미국 AI 기업에 대해 산업 규모의 증류 활동을 벌이고 있다」이다. 세 기관은 딥시크, 문샷 AI, 알리바바, 미니맥스, 스텝펀, Z.AI를 이름으로 올렸다. 세 기관은 딥시크가 최소 2024년 후반부터 미국 AI 기업의 선도 모델을 대상으로 조직적인 증류 활동을 해 왔다고 밝혔다. 증류는 AI 연구에서 정당하고 유용한 기법으로 인정받지만 이 활동은 공격적이고 악의적이라고 세 기관은 평가했다.

NSA는 같은 날 보도자료에서 중국 AI 모델의 발전이 미국과 동맹을 겨눌 수 있는 군사·사이버 공격 능력을 키울 수 있다고 밝혔다. CISA와 NSA 계정은 같은 날 X에서 권고문 공개를 알렸다. DHS는 10월 20일 공고에서 이 권고문을 근거로 들지 않았다. 두 조치가 어떤 관계인지는 DHS도 NSA도 밝히지 않았다. 명령은 이행이 어려운 기관에 예외 절차를 열어 두었다.

기관은 발령 후 60일 안에 서면으로 예외를 신청할 수 있다

연방 행정기관은 연방규정집 41편 201-1.304(b)에 따라 DHS 발령 담당관에게 예외를 요청할 수 있다. 명령을 해당 기관에 적용하지 말아 달라거나, 특정 행위에 적용하지 말아 달라거나, 이행 시한을 늦춰 달라는 요청이 가능하다. 요청은 명령 발령 후 60일 안에 서면으로 내야 한다. 신청서에는 다섯 가지를 넣어야 한다. 해당 명령의 확인, 예외를 구하는 부분의 설명, 예외 대상 제품이나 서비스의 이름이나 설명, 예외를 허용해야 할 강력한 사유, 위험을 줄이기 위해 기관이 취할 대체 완화 조치다. 강력한 사유의 예로 DHS는 명령이 기관의 핵심 임무 수행 능력에 미치는 영향과 국가안보 검토, 국가안보 수사, 국가안보 협약 같은 국익 관련 고려를 들었다.

CISA는 요청을 검토해 서면으로 승인 또는 불승인을 알린다. 요청은 FASCSA.Orders@cisa.dhs.gov로 보낸다. 같은 주소가 이번 명령의 이행 지원과 보고 문의 창구이기도 하다. 연방관보 공고의 문의처는 CISA 사이버보안국의 FASCSA 명령 이행팀이다.

DHS는 제거가 끝날 때까지의 기간에 연방기관이 시스템 위험에 대응하는 조치를 하도록 권했다. 기관 안팎으로 오가는 트래픽을 감시하고, 해당 시스템에 로그 기록과 통제를 강화해 데이터 유출을 막고, 이상 활동을 탐지해 표시하라는 내용이다. CISA는 이행할 내부 역량이 없는 기관에 기술 지원을 제공할 수 있다. 국토안보부 장관은 FASCSA가 정한 대로 명령을 1년 안에 검토하고 이후 매년 검토한다. 이런 명령은 FASCSA가 정한 절차를 거쳐 나온다.

FASC가 권고하면 대상 기업이 30일 안에 의견을 낼 수 있고 명령 뒤에는 60일 안에 재판을 청구할 수 있다

FASC 최종 규칙에 따르면 위원회는 권고에 이름이 오른 기업에 권고 사실을 통지해야 한다. 통지에는 위원회가 의존한 기준과, 국가안보와 법 집행 이익에 어긋나지 않는 범위에서 권고의 근거 정보가 들어간다. 기업은 통지를 받고 30일 안에 권고에 반대하는 정보와 주장을 낼 수 있다. FASC는 기업의 응답을 보고 권고를 바꾸거나 철회할 수 있다. 그러지 않으면 DHS, 국방부, DNI의 적절한 담당자가 권고에 따라 명령을 낼 수 있다. FASC는 명령을 직접 내리지 않는다.

기업은 명령이 나온 뒤에도 불복할 수 있다. 미 법전 41편 1327조에 따라 기업은 명령이 발령됐다는 통지를 받고 60일 안에 사법 심사를 청구할 수 있다. 명령의 발효일을 정하고 기업에 통지하는 것은 FASC가 아니라 명령을 내린 담당관의 몫이다. DHS는 이번 명령과 관련해 딥시크가 어떤 응답을 했는지, 통지를 언제 받았는지 공개하지 않았다.

DHS가 명령문에 표기한 날짜는 7월 24일이고, 연방관보 공고는 10월 20일이다. DHS는 두 날짜의 간격을 설명하지 않았다. 제임스 H. 퍼시벌 2세 DHS 법무자문관이 공고에 서명했고, DHS 도켓 번호는 DHS-2026-0628이다. DHS는 서명된 명령문 사본을 regulations.gov에서 이 번호로 검색해 찾을 수 있다고 안내했다. 명령문에는 러셀 보우트 백악관 예산관리국장이 수신 참조로 올랐다.

출처 (KST)

• 연방관보 91 FR 66346–66350, 2026-10-20, 문서번호 2026-21447 · https://www.govinfo.gov/content/pkg/FR-2026-10-20/pdf/2026-21447.pdf
• NSA·CISA·FBI 공동 권고문 AA26-251A, 2026-09-08 · https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-251a
• NSA 보도자료 · https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4592113/
• X @CISACyber · https://x.com/CISACyber/status/2097398347048837149
• X @NSACyber · https://x.com/NSACyber/status/2097374444062732374