آمریکا حذف DeepSeek را از سامانه‌های غیرنظامی فدرال الزامی کرد

وزارت امنیت داخلی آمریکا به نهادهای غیرنظامی فدرال دستور داده است خرید محصولات و خدمات DeepSeek را متوقف و نمونه‌های موجود را از سامانه‌های فناوری اطلاعات خود حذف کنند. دامنه این دستور فقط چت‌بات یا مدل‌های عرضه‌شده با نام DeepSeek نیست و محصولات وابستگان این شرکت و خدمات ثالثی را که بر فناوری DeepSeek ساخته شده‌اند نیز دربرمی‌گیرد.

این تصمیم یک ممنوعیت عمومی برای مصرف‌کنندگان، شرکت‌های خصوصی یا همه سازمان‌های آمریکایی نیست. محدوده الزام، نهادهای غیرنظامی فدرالی است که زیر اختیار این دستور قرار می‌گیرند. همین مرزبندی اهمیت دارد، زیرا تعبیر ساده «آمریکا DeepSeek را ممنوع کرد» دامنه واقعی اقدام را بیش از اندازه گسترده نشان می‌دهد.

نهادهای فدرال دقیقاً به چه کاری ملزم شده‌اند؟

بر اساس جزئیاتی که BleepingComputer و TechCrunch از دستور وزارت امنیت داخلی آمریکا گزارش کرده‌اند، نهادهای مشمول باید محصولات پوشش‌داده‌شده را فوراً از فرایند خرید کنار بگذارند. این حذف شامل فهرست محصولات تأییدشده و بازارهای خرید دولتی نیز می‌شود؛ بنابراین موضوع فقط جلوگیری از نصب جدید توسط یک کاربر نیست و باید در سازوکار تدارکات سازمانی اعمال شود.

در گام دوم، محصولات موجود باید از سامانه‌های فناوری اطلاعات نهادها حذف شوند، مگر آن‌که سازمان برای یک استثنا درخواست بدهد. درخواست استثنا باید ظرف ۶۰ روز از صدور دستور ارائه شود و توجیه استفاده، نیاز عملیاتی و تدابیر پیشنهادی برای کاهش خطر را توضیح دهد. آژانس امنیت سایبری و امنیت زیرساخت آمریکا یا CISA این درخواست‌ها را بررسی و موافقت یا مخالفت کتبی صادر می‌کند.

این سازوکار نشان می‌دهد دستور، حذف مطلق و بدون مسیر استثنا نیست؛ اما بار اثبات را بر دوش نهادی می‌گذارد که می‌خواهد استفاده را ادامه دهد. همچنین سازمان‌هایی که به‌دلیل محدودیت فنی قادر به اجرای کامل دستور نیستند، می‌توانند برای دریافت کمک فنی از CISA اقدام کنند.

چرا محصولات ثالث هم در محدوده قرار گرفته‌اند؟

DeepSeek علاوه بر چت‌بات، رابط برنامه‌نویسی و مدل‌هایی برای استدلال و برنامه‌نویسی عرضه می‌کند. چنین مدل‌هایی می‌توانند در ابزار دیگری تعبیه شوند، بدون آن‌که نام DeepSeek در عنوان محصول نهایی برجسته باشد. اگر دستور فقط نرم‌افزارهای دارای نام این شرکت را ممنوع می‌کرد، یک نهاد ممکن بود همان فناوری را از مسیر یک سرویس ثالث وارد شبکه خود کند.

به همین دلیل، متن گزارش‌شده وابستگان شرکت و محصولات یا خدماتی را که با فناوری DeepSeek ساخته شده‌اند نیز پوشش می‌دهد. اجرای این بخش برای واحدهای فناوری اطلاعات دشوارتر از حذف یک برنامه مشخص است: آنها باید فهرست نرم‌افزار، قراردادهای ابری، افزونه‌ها و قابلیت‌های هوش مصنوعی تعبیه‌شده در محصولات دیگر را بررسی کنند تا وابستگی پنهان به مدل یا API مشخص شود.

در عمل، سازمان‌ها باید علاوه بر نام محصول، معماری و زنجیره تأمین آن را بشناسند. ممکن است یک ابزار پردازش سند، دستیار برنامه‌نویسی یا سامانه تحلیل داده در پشت صحنه از مدل DeepSeek استفاده کند. این وضعیت، مسئله شفافیت فروشنده و ثبت دقیق اجزای نرم‌افزاری و مدل‌های هوش مصنوعی را به بخشی از انطباق دولتی تبدیل می‌کند.

استدلال امنیتی دولت آمریکا چیست؟

وزارت امنیت داخلی نگرانی خود را به احتمال دسترسی دولت چین به زیرساخت‌های DeepSeek، گردآوری اطلاعات شخصی، ردیابی کاربران و انتقال داده‌های حساس دولتی به چین مرتبط کرده است. TechCrunch گزارش می‌دهد دستور همچنین به الزامات حقوقی چین اشاره دارد که از نگاه دولت آمریکا می‌تواند دسترسی مقام‌های چینی به اطلاعات کاربران دولتی را ممکن کند.

در گزارش BleepingComputer آمده است که سند به نگرانی درباره وجود احتمالی بدافزار در مدل‌ها و نیز یافته‌های امنیتی پیشین درباره برنامه iOS DeepSeek اشاره می‌کند. این گزارش، یافته‌های یک بررسی سال ۲۰۲۵ درباره انتقال داده بدون رمزگذاری مناسب، استفاده از الگوریتم‌های رمزنگاری ضعیف، ذخیره‌سازی محلی ناامن و خطر انگشت‌نگاری کاربر را به‌عنوان بخشی از پیشینه مورد استناد معرفی می‌کند.

با این حال، دستور تازه نباید به‌عنوان اثبات عمومیِ آلوده‌بودن همه مدل‌ها یا همه نصب‌های DeepSeek تعبیر شود. مبنای اقدام، ارزیابی خطر و سیاست تدارکات دولتی است؛ نه اعلام این‌که هر کاربر خصوصی یا هر اجرای محلی الزاماً هک شده است. این تفکیک برای پرهیز از تبدیل یک تصمیم مقرراتی به ادعای فنی اثبات‌نشده ضروری است.

این تصمیم چه چیزی را تغییر می‌دهد؟

محدودیت‌های استفاده دولتی از DeepSeek پیش‌تر نیز وجود داشت. TechCrunch می‌گوید قانونی که در دسامبر ۲۰۲۵ تصویب شد، استفاده از این فناوری را در سامانه‌های امنیت ملی و اطلاعاتی هدف گرفته بود. دستور تازه دامنه محدودیت را به نهادهای غیرنظامی فدرال، خریدهای جدید و نصب‌های موجود گسترش می‌دهد.

این گسترش از نظر بازار هم مهم است. فروشندگانی که محصولشان به مدل یا API شرکت چینی متکی است، برای ادامه حضور در بازار دولت فدرال باید وابستگی خود را شفاف کنند، معماری جایگزین ارائه دهند یا برای استثنا و کاهش خطر مستندات کافی فراهم آورند. سازمان‌های خریدار نیز نمی‌توانند صرفاً بر نام تجاری جلوی محصول تکیه کنند.

پاسخ چین نیز بخشی از اختلاف سیاسی و تجاری گسترده‌تر است. TechCrunch به نقل از سخنگوی وزارت خارجه چین گزارش کرده پکن با «گسترش بیش از حد مفهوم امنیت ملی» و سیاسی‌کردن فناوری و تجارت مخالف است و از حقوق شرکت‌های چینی دفاع خواهد کرد. این موضع، اصل صدور دستور را تغییر نمی‌دهد اما نشان می‌دهد محدودیت تازه در چارچوب رقابت فناوری آمریکا و چین نیز تفسیر خواهد شد.

پیام عملی برای مدیران فناوری

برای نهادهای مشمول، کار فوری فقط پاک‌کردن یک اپلیکیشن نیست. نخست باید همه نقاط استفاده شناسایی شود: برنامه رسمی، API، مدل دانلودشده، دستیارهای کدنویسی، سرویس‌های ابری و قابلیت‌های هوش مصنوعی محصولاتی که فروشنده دیگری ارائه کرده است. سپس خریدهای جدید، تمدید قرارداد و فهرست نرم‌افزارهای تأییدشده باید با دامنه دستور هماهنگ شود.

مرحله بعد، تصمیم درباره حذف یا درخواست استثناست. اگر یک سامانه برای مأموریت سازمان ضروری است، پرونده استثنا باید نیاز عملیاتی و کنترل‌های کاهش خطر را توضیح دهد. این کنترل‌ها می‌تواند جداسازی شبکه، محدودکردن داده ورودی، ثبت رویدادها و ارزیابی فروشنده را شامل شود؛ اما پذیرش آنها به بررسی CISA وابسته است و نباید موافقت را از پیش قطعی دانست.

برای سازمان‌های خصوصی خارج از دامنه دستور نیز رویداد تازه یک سیگنال مدیریتی است، نه الزام قانونی مستقیم. آنها می‌توانند از این پرونده برای بازبینی فهرست مدل‌های مورد استفاده، محل پردازش و ذخیره داده و قراردادهای فروشندگان بهره بگیرند. ممنوعیت دولتی به‌تنهایی ثابت نمی‌کند همان تصمیم برای هر شرکت درست است، اما نشان می‌دهد وابستگی پنهان به مدل‌های ثالث اکنون بخشی از ریسک زنجیره تأمین هوش مصنوعی شده است.

رونما پیش‌تر در گزارش دسترسی ارزیاب مستقل به سامانه‌های آنتروپیک به اهمیت نظارت فنی و امکان بررسی بیرونی مدل‌ها پرداخته بود. پرونده DeepSeek زاویه دیگری از همان مسئله را نشان می‌دهد: وقتی یک مدل وارد زیرساخت سازمانی می‌شود، منشأ فناوری، مسیر داده و اختیار قانونی ارائه‌دهنده به‌اندازه توانایی خود مدل اهمیت پیدا می‌کند.