一边是搜索 API 开放，一边是被令从联邦系统移除：DeepSeek 团队该怎样读这份 DHS 采购禁令
一条时间轴上并行的两件事
把两条新闻放在同一张时间轴上，画面会很有意思：一边是 DeepSeek 在国内开发者社区开放搜索 API，讨论热度持续攀升；另一边，美国国土安全部（DHS）在 10 月 19 日公开了一道命令，要求联邦民事机构从信息系统中移除 DeepSeek 的 AI 产品与服务，并禁止未来采购。
但这里有一个非常容易踩的坑：这道命令并不是“刚刚”才生效的。
根据 MeriTalk 的报道《DHS Orders Civilian Agencies to Remove DeepSeek AI Products》，DHS 部长 Markwayne Mullin 早在 7 月 24 日就签署了这份命令，限制措施当时即已依据《2018 年联邦采购供应链安全法》（Federal Acquisition Supply Chain Security Act of 2018，FASCSA）生效。10 月 19 日只是通过《联邦公报》公告的形式将其公之于众，公告安排在 10 月 20 日正式刊出。SCMP 的报道《US orders DeepSeek removed from federal systems, citing national security risks》也确认了这一公开动作，并补充了命令禁止采购的范围——包括关联实体的产品，以及基于 DeepSeek 模型开发的第三方服务。
所以第一课是：看到“美国下令移除 DeepSeek”的标题，不要默认这是一条新限制。生效时间（7 月下旬）和公告公开时间（10 月中下旬）之间隔着近三个月。对合规从业者来说，这两个日期的含义完全不同——前者是你应该已经在应对的义务，后者只是信息透明的结果。
禁令覆盖了什么
依据 MeriTalk 报道中引用的命令内容，覆盖范围有三层：
DHS 给出的理由包括：DeepSeek 在中国收集和存储用户数据、用户提示词及 AI 生成内容被传输至位于中国的服务器，以及通过取证分析发现的安全与隐私漏洞。SCMP 引用的公告原文还提到，美国政府雇员或供应商使用这些产品“可能导致敏感数据转移到中国”，且模型本身“可能包含恶意软件或其他安全漏洞”。
对不同角色的实际影响
对自部署团队（国内）： 这份禁令直接影响为零。它约束的是美国联邦民事机构的 IT 系统和采购行为，不约束中国的企业和开发者。继续基于开源模型自部署、调用搜索 API 做应用开发，属于完全不同的管辖场景。真正需要留意的是开源许可证条款和自身业务的合规边界，而不是这道 DHS 命令。
对出海 SaaS 与服务商： 这是风险最集中的一组。如果你的产品接了 DeepSeek 的模型或 API，并且客户名单里有美国政府机构或其承包商，那么哪怕“模型是我们自己部署的”，只要属于“基于 DeepSeek 实现构建的第三方产品”，就可能落在命令的措辞范围内。稳妥的做法是：梳理客户中是否涉及联邦民事机构，评估是否需要对政府客户提供模型替换方案，并在合同层面预留技术栈切换的灵活性。注意命令针对的是“联邦民事机构”，不等于美国所有公共部门，也不针对商业客户——范围判断要精确，不要自己吓自己，也不要漏掉。
对供应链合规： 第三方覆盖条款是这道命令最有“穿透力”的设计。它把合规义务从“你直接买了什么”扩展到了“你用了什么底座”。这与 FASCSA 的逻辑一致：供应链安全关注的是源头，不是贴牌。做技术选型时，如果未来有进入美国政府供应链的可能，模型的来源本身就是一项尽调项。
局限与提醒
- 本文依据的是 MeriTalk 与 SCMP 两条公开报道，命令全文以《联邦公报》10 月 20 日刊出的文本为准，具体执行细则、豁免机制需查原文。
- 报道中的“威胁”表述是 DHS 单方面声明，本文不做事实真伪判断，只分析其合规后果。
- 生效在 7 月、公开在 10 月这个事实提醒我们：关注地缘政策类新闻时，先核对“生效日期”再决定要不要行动。
一句话总结：国内开发者该干嘛干嘛；做美国市场的人，把 7 月 24 日这个日期记在合规台账上。
参考资料
以下链接为本文使用的公开资料。事实依据与检索摘录保存在本地记录中；资料内容与适用范围以原始页面为准。
- DHS Orders Civilian Agencies to Remove DeepSeek AI Products – MeriTalk
- US orders DeepSeek removed from federal systems, citing national security risks | South China Morning Post
