美国国土安全部下令联邦机构移除 DeepSeek：连“套壳”第三方产品一起禁

10 月 20 日，一条 AI 安全新闻刷了屏：《华尔街日报》报道，美国国土安全部（DHS）发布通知，下令联邦 civilian 机构从 IT 系统中移除中国 DeepSeek 开发的 AI 技术，并禁止未来采购其产品与服务。

但先纠正一个时间线——这其实不是一条"今天下令"的新闻。这份被编号为 Exclusion and Removal Order #2026-01 的命令，落款日期是 2026 年 7 月 24 日，10 月 19 日才提交公开查阅、10 月 20 日正式刊登在《联邦公报》（Federal Register）上。也就是说，禁令已经悄悄生效了近三个月，公众今天才知道。WSJ 在 10 月 20 日的报道，报的是"公开披露"，不是"刚刚下令"。

而比"禁 DeepSeek"本身更值得咀嚼的，是禁令的"连坐"条款。DHS 的限制范围延伸到了两类对象：DeepSeek 关联公司（affiliates）开发的产品，以及基于 DeepSeek 实现构建的第三方产品与服务（third-party products and services built using DeepSeek implementations）。翻译成大白话：你不是直接用 DeepSeek，而是"套了个壳"、底层实现是 DeepSeek 的，也在禁令之内。联邦政府第一次把开源权重模型的供应链穿透力，白纸黑字写进了一份排除令。

命令到底说了什么

先把多方交叉核实过的事实摆出来。信息源主要是 WSJ 的报道摘要、路透社的通稿，以及 The Neuron 10 月 20 日的全文分析——它逐段引用了 Federal Register 公开文件的原文（文件号 2026-21447，案卷号 DHS-2026-0628）：

• 点名的主体：杭州深度求索人工智能有限公司（Hangzhou DeepSeek Artificial Intelligence Co., Ltd）及其关联实体——"关联"的定义援引联邦采购法规的口径，不是 DHS 现场发挥的。这意味着禁令咬住的是法律实体网络，而不只是一个品牌名；改个马甲、换个壳公司，只要被认定为关联实体，照样在范围内。
• 谁被要求：美国联邦行政部门的 civilian（非军事）机构。注意边界：国家安全系统和涉密信息系统由另外的主管机关管辖，不在这份命令里；命令也不针对私营企业和普通消费者——The Neuron 明确写道，私营部门不存在全国性的 DeepSeek 禁令。
• 要求做什么：两件事——停止采购被覆盖的 DeepSeek 产品；把已有系统里的 DeepSeek、其关联公司产品，以及"基于 DeepSeek 实现构建的第三方产品与服务"移除出去。
• 法律依据：《2018 年联邦采购供应链安全法》（Federal Acquisition Supply Chain Security Act of 2018），流程上经过了联邦采购安全委员会（FASC）的建议与证据审查。这不是某位官员的心血来潮，而是一套正式的供应链安全审查走完的结论。
• 豁免通道：有，但很窄——机构可以在命令签发后 60 天内书面申请豁免，附上"令人信服的理由"和缓解措施，由 DHS 下属 CISA 的实施团队处理。耐人寻味的是：命令 7 月 24 日签发，60 天窗口在 10 月 19 日公开披露之前就已经过了。除非有机构在 7 到 9 月间悄悄提交了申请，否则实际执行层面几乎没有豁免余地。

"签发三个月才公开、豁免窗口公开前就已关闭"——这个时间差本身就是信息。它说明 DHS 的策略是"先执行、后告知"：让机构在公众和舆论介入之前，先把清理工作做完。等到 10 月 20 日见报时，联邦系统里的 DeepSeek 很可能已经清得差不多了，新闻剩下的作用，是给联邦承包商和软件供应商看的：举证责任从此倒置了。

值得多说一句这部法律的权力性质。《2018 年联邦采购供应链安全法》赋予政府的不是"建议权"，而是"排除+移除"双动作：既可以把有供应链风险的产品挡在采购门外，也可以要求把已经装进系统的东西清出去。FASC（联邦采购安全委员会）本身就是由多个联邦机构组成的合议机制，它的建议要经过证据审查——这意味着 DHS 手里大概率有不便公开的评估材料，只是选择了不写进公开文件。对读者来说，结论很简单：这不是一次表态，而是一次有法律强制力的清场，联邦机构没有"观望"的选项。

"连坐"为什么是关键：禁的是"实现"，不是"公司"

过去几年的供应链禁令，禁的都是"主体"：某家公司的设备、某家公司的云服务。主体明确，执行清晰——查供应商名单就行。但 DeepSeek 是开源权重模型：权重可以被任何人下载、微调、蒸馏、封装成"另一个产品"。这一次 DHS 的措辞直接穿透了"主体"：禁的是"DeepSeek 的实现"（implementations）——哪怕换了个公司名、换了层皮，只要实现是基于 DeepSeek 的，就在范围内。

这是对"套壳"模式的精准打击。市面上有不少这样的产品：前台品牌与 DeepSeek 毫无关系，后端 API 或模型血缘就是 DeepSeek。DHS 等于是说：这种做法在联邦采购体系里行不通了。The Neuron 举了个很具体的例子：一个文档摘要或代码生成平台，底层调用了 DeepSeek，但客户只跟平台自己的品牌打交道——按这份命令，联邦机构采购时也得审查。

技术上这很难审计：你怎么证明一个第三方服务底层是不是 DeepSeek 实现？蒸馏过的、微调过的，还算不算"implementation"？notice 没有给出判定标准。但这恰恰是关键——在政府采购这种强合规领域，"说不清就不用"本身就是执行力。采购官不需要证明你是 DeepSeek 套壳，他只需要你"自证清白"；供应商说不清血缘，订单就没了。寒蝉效应会比逐字执法走得更远。

当然也要看到另一面：notice 没有解释"多模型可选"的产品怎么算——比如一个平台默认用别的模型，但把 DeepSeek 列为可选项，算不算违规？The Neuron 指出，公开文件里没有答案，未来可能要求供应商证明"受限选项可以被禁用"。灰色地带还很多，但方向已经定了：模型血缘从此是联邦采购的审查项。

还有一个更深的灰色地带：蒸馏和微调过的衍生模型，算不算"DeepSeek implementation"？notice 没有定义。联邦机构此前审查中国 AI 公司时，就涉及过"蒸馏"美国模型能力的指控——用大模型的输出训练小模型，是开源生态的常规操作，但血缘上确实连着原模型。按"连坐"条款的字面意思，一个用 DeepSeek 输出蒸馏出来的第三方小模型，很可能也在范围内；但技术上几乎无法取证。这意味着执行的天平会进一步倒向"自证清白"：供应商不仅要说"我没用 DeepSeek API"，最好还能说清训练数据的来源。对 vibe coder 的提醒是：以后"模型血缘"这个词，会跟"软件物料清单"（SBOM）一样，成为交付物的一部分。

DHS 列出的理由，和没给的东西

DHS 在 notice 里确实列出了安全关切，措辞不轻。据路透社援引的 notice 原文，DHS 称 DeepSeek 模型存在 "multiple threat vectors"（多重威胁向量）：在政府雇员或承包商使用时，"可能导致敏感数据传输到中国"；prompt 里提交的机密信息可能与公开记录结合，形成针对"美国个人和/或政府机构的可行动情报"；"模型本身可能包含恶意软件或其他安全漏洞"。

背景材料也被写进了文件：众议院对中共特别委员会 2025 年 4 月的调查（担心中国当局依据其数据调取法律获取 DeepSeek 收集的个人信息），以及安全公司 NowSecure 2025 年 2 月对 DeepSeek iOS 应用的检测（发现注册与设备信息未加密传输、凭据存储方式不安全）。今年 7 月 DHS 还曾发过一份备忘录，要求联邦机构监控政府网站的出入流量以应对 DeepSeek 的潜在风险——看得出来，这次命令是那份备忘录的升级版。

把时间线拉长看，这不是孤立事件，而是一次"收拢"：2025 年 2 月，国会议员提出《No DeepSeek on Government Devices Act》（禁止政府设备用 DeepSeek）法案；同年，商务部在自家系统内禁用了 DeepSeek，美国海军也要求人员不得使用；2026 年 7 月，DHS 发出流量监控备忘录；7 月 24 日，排除令签署；10 月 20 日，公之于众。过去一年半的零散限制，在这份 #2026-01 命令里被收拢成了一份正式的、有强制力的排除令。趋势很清楚：对中国 AI 模型的联邦限制，正在从"各机构自行其是"走向"统一立法+统一执行"。DeepSeek 是第一个被这样"收拢"的，但很难是最后一个。

但 The Neuron 做了一个非常重要的限定，值得原样转述：DHS 公开文件的附录里，没有提供任何证据证明某个具体模型嵌入了恶意软件；NowSecure 发现的是 iOS 应用的漏洞，应用漏洞不能证明底层 AI 模型含有恶意代码；而且 notice 也没有举出任何一起"数据确实被传走"的实例。

一句话总结：罪名列出来了，证据没公开。这在供应链安全审查里其实是常态——FASC 的证据审查过程本身就是保密的，DHS 不太可能把情报来源写进公开文件。但作为读者，我们应该分清"官方主张"和"已证实事实"：前者是 DHS 的说法，后者目前只有应用层漏洞是第三方独立验证过的。保持这个区分，就是这篇报道的诚实刻度。

同一家公司，两条新闻线

有意思的对照是：就在 DHS 命令公开的同一周，本站刚刚发布了《DeepSeek 开源昇腾版 TileLang》——讲的是 DeepSeek 在技术上继续开源，把推理引擎做到国产硬件上，开源社区的热情一分没减。

这两条新闻看似矛盾，其实管的是同一技术的不同环节：一个管"知识能不能流动"，一个管"政府系统里能不能用"。DeepSeek 的权重依然可以被任何人下载——GitHub 上的 DeepSeek-R1 仓库正常开放，LM Studio 这类工具照常支持本地离线推理；开源的"开"，没有受到这份命令的任何影响。命令针对的是采购与部署关系：联邦机构不得把 DeepSeek 技术放进自己的系统、不得花钱买。

还有个更妙的互文：本站昨天刚发布的《Tenstorrent 15 亿美元押注开放权重》，里面写到 Jim Keller 的转折点——今年 5 月，Tenstorrent 的 Galaxy 服务器成功跑起了 DeepSeek 模型，"证明了之后，就没必要卖了"。一边是芯片独角兽拿 DeepSeek 跑通自家硬件、当成募资故事讲；另一边是联邦政府把 DeepSeek 写进排除令、要求系统里清出去。同一个模型，在资本市场是"开放权重的代表作"，在联邦采购体系是"供应链风险项"——2026 年的 AI 世界就是这样分裂：技术的价值坐标和安全的价值坐标，已经不在同一张图上了。

这个区分对个人开发者尤其重要：你在自己电脑上跑 DeepSeek 权重、做实验、做开发，这份 notice 管不着。它不是世界范围的封杀令，不针对私营企业和消费者。但反过来也别误读另一面：The Neuron 特别提醒，命令里没有给"自托管开源权重"留通用豁免——联邦机构自己搭、私有化部署 DeepSeek 权重，同样在移除范围内，豁免得走 CISA 的申请通道。开源能解决"知识流动"问题，解决不了"政府合规"问题。

这也是为什么"连坐"条款必须存在：如果不管套壳，这份禁令在开源权重面前就是一张废纸。开源模型第一次让"技术扩散"和"部署合规"彻底分开——DHS 的选择是：前者管不了，就把后者管死。

给 vibe coder 的四个启示

第一，模型选型从此有了地缘政治维度。以前选模型看三个指标：效果、价格、速度。现在要加第四个：你的目标客户是谁。如果你的产品有一天想卖给美国联邦机构、或者给有联邦合同的企业做供应商，技术栈里出现 DeepSeek 血缘就是一票否决。而且 DHS 这次开的先例会被效仿——州政府、盟友国家、大型企业的合规部门都在看。今天禁的是联邦 civilian 系统，明天可能就是某个大企业的供应商准入问卷里多一行："请声明贵司产品是否包含 DeepSeek 或其关联方的 AI 实现。"

第二，"模型抽象层"从最佳实践变成了生存刚需。很多 vibe coding 项目是直接把某个模型的 API 写死在代码里的：prompt 按 DeepSeek 的脾气调的，function calling 按它的格式写的。DHS 这条新闻是最好的反面教材：把单一模型写进架构，就是把单一风险写进公司。正确的做法是给模型调用留一层抽象——provider 可替换、prompt 与模型解耦。今天你因为便宜用 DeepSeek，明天合规要求你换掉时，改的应该只是一个配置，而不是半个代码库。

第三，"模型供应链声明"会变成供应商问卷的标配。The Neuron 明确指出，联邦机构未来会要求供应商说清楚：产品里到底是哪个 AI 模型在干活、能不能证明受限选项已被禁用。做 B2B 的 vibe coder，不妨现在就把三句话写进产品文档：用的什么模型、部署在哪里、能不能换。这三句话以后会越来越值钱——它回答的是客户合规官的问题，不是工程师的问题。

第四，别把"便宜"当成唯一的选型理由，也别把"开源"当成免死金牌。DeepSeek 在开发者中流行，很大原因是性价比逆天。但这条新闻提醒我们：便宜是有隐性成本的——当你的产品长大、开始接触合规严格的客户时，早期的模型选型会变成技术债。同样，"它是开源的"也不等于"它在哪都能用"：DHS 这份命令恰恰证明，开源权重一样可以被装进"连坐"条款。选型时想清楚退出成本，比选型本身更重要。

最后给一份极简行动清单，如果你正在用 DeepSeek 做产品：第一，检查你的调用链——直接 API、第三方封装、RAG 底座，有没有 DeepSeek 血缘，列出来；第二，给模型调用加一层抽象，保证 48 小时内能切换 provider；第三，在产品文档里写下"模型供应链声明"，三句话：用的什么模型、部署在哪里、能不能换。这三件事今天做是"加分项"，两年后可能就是"准入项"。

往长了看，这份命令是《2018 年联邦采购供应链安全法》立法以来，第一次被完整地用在一家 AI 模型公司身上——供应链安全法的管辖范围，从此正式从"硬件和软件"扩展到了"模型权重"。这意味着，以后每一个主流开源模型，都可能面临同样的"血缘审查"。vibe coder 下次选模型时，不妨把"这个模型的血缘在未来五年会不会成为问题"也放进考量——这不是杞人忧天，DHS 已经写好了模板。

透明度说明

最后说说这篇报道的信息来源，保持透明。《华尔街日报》的原文在付费墙后面，我们没有直接打开全文；核心事实来自 WSJ 报道摘要、路透社通稿，以及 The Neuron 10 月 20 日的全文分析（我们亲开了这篇，它逐段引用了 Federal Register 公开文件的原文）。订单编号（Exclusion and Removal Order #2026-01）、7 月 24 日签发、10 月 19 日提交公开查阅、10 月 20 日刊登（文件号 2026-21447、案卷号 DHS-2026-0628）、60 天豁免申请窗口等细节，来自多家媒体对同一份公开文件的交叉报道，彼此一致。

凡是公开文件没说的，我们都没写：比如具体哪些机构已经完成了移除、豁免申请的实际处理情况——这些没有公开，我们不猜。如果你看到了 DHS notice 的原文链接，欢迎补充，我们会更新这篇文章。