ארה״ב הורתה לסוכנויות אזרחיות להסיר את DeepSeek ממערכות המידע

המשרד לביטחון המולדת של ארצות הברית פרסם ב-19 באוקטובר צו שמורה לסוכנויות אזרחיות פדרליות להפסיק לרכוש ולהסיר ממערכות המידע שלהן מוצרים ושירותים המבוססים על DeepSeek. המסמך נחתם ב-24 ביולי, אך הועלה לעיון הציבור רק השבוע לקראת פרסומו הרשמי ב-Federal Register ב-20 באוקטובר.

הצו נכנס לתוקף מיד עם הוצאתו. הוא חל על הסוכנויות האזרחיות ברשות המבצעת ועל מערכות המידע שהן מפעילות, למעט מערכות שמוגדרות מערכות ביטחון לאומי או מערכות מסווגות. הוא אינו הוראה כללית לחברות פרטיות, לצרכנים, למשרד ההגנה או לקהילת המודיעין.

מה בדיוק נאסר

הנוסח רחב יותר מאיסור על אפליקציית הצ׳אט של DeepSeek. הוא כולל את המודלים והמערכות של החברה, מוצרים עתידיים שלה, חברות קשורות, וכן מוצרים ושירותים של צד שלישי שפותחו באמצעות מימושים של DeepSeek. המשמעות המעשית היא שסוכנויות יצטרכו לבדוק גם רכיבים שמוטמעים בתוך שירות אחר, ולא להסתפק בחיפוש אחר שם החברה ברשימת האפליקציות.

DHS קובע במסמך כי מצא סיכון להעברת מידע לממשלת סין, לאיסוף טביעות מכשיר ומידע אישי ולחולשות אבטחה אפשריות. אלה ממצאים והערכות של המשרד, לא תיאור של תקרית חדירה מסוימת שנחשפה לציבור. המסמך אינו מפרט כמה מערכות פדרליות השתמשו ב-DeepSeek, איזה מידע עבר בפועל או אם נמצא ניצול של חולשה ברשת ממשלתית.

ראש סוכנות רשאי לבקש חריגה מוגבלת, אך הצו מחייב להגיש בקשה בתוך 60 ימים ממועד הוצאתו ולנמק מדוע השימוש נחוץ. גם במקרה של חריגה, האחריות לסיכון נשארת אצל הסוכנות. הצו דורש להפסיק רכש חדש, לזהות התקנות ותלויות קיימות ולהסיר אותן לפי לוח זמנים שמנהל הסוכנות קובע.

מה זה משנה לצוותי IT

עבור מנהלי מערכות ממשלתיים, העבודה מתחילה במלאי נכסים ותלויות: יישומים מקומיים, שירותי ענן, הרחבות קוד, מודלים שהורדו ומוצרים חיצוניים שמשתמשים במודל מאחורי הקלעים. יש צורך גם לעדכן חוזי רכש וספקים, משום שהאיסור חל על שירותים שנבנו על DeepSeek ולא רק על תוכנה שהסוכנות התקינה ישירות.

ספקים שעובדים עם הממשל יצטרכו להיות מסוגלים להסביר באילו מודלים הם משתמשים ואיפה נשמרים נתונים. הצו אינו קובע תקן טכני חדש לבדיקת שרשרת אספקה, ולכן אופן הגילוי והאימות עשוי להשתנות בין סוכנויות. הוא גם אינו אומר כיצד לטפל בקוד שעבר התאמות או במודל שהורץ בסביבה מבודדת לחלוטין.

עדיין חסרות תשובות לגבי היקף השימוש שנמצא בממשלה, מספר החריגות שהתבקשו ותגובת DeepSeek לטענות. הפרסום המאוחר של צו שנחתם ביולי גם מקשה להבין מה כבר הוסר לפני שהציבור ראה את המסמך. נכון לעכשיו, זו הוראת רכש ואבטחת מידע ממוקדת לממשל האזרחי הפדרלי, ולא איסור אמריקאי כולל על שימוש ב-DeepSeek.