Blokada DeepSeek (i innych modeli AI) za pomocą narzędzi Microsoft

W tym artykule pokażę krok po kroku, jak zablokować dostęp do usług takich jak DeepSeek z wykorzystaniem narzędzi Microsoft Intune oraz Defender for Endpoint. Przykład oparty będzie o system Windows 11 – niemniej, polityki i reguły które pokażę w niniejszym poście można powtórzyć na innych systemach, jak macOS czy Android/iOS.

Krótko o DeepSeek – jest to model językowy opracowany przez chińską firmę, która rozwija zarówno modele tekstowe, jak i wielomodowe (łączące tekst i obraz). DeepSeek działa podobnie jak modele GPT (jak ChatGPT) generując tekst, odpowiadając na pytania, tłumacząc itd.

Dlaczego w ogóle chcielibyśmy blokować modele takie jak DeepSeek czy GPT? Zadałem sobie świetne pytanie, bowiem temat blokowania takich modeli robi się coraz gorętszy. Oto główne powody, dla których organizacje mogłyby chcieć zablokować (bądź ograniczyć) modele AI:

Prywatność i bezpieczeństwo danych – pracownicy mogą przypadkowo (lub w gorszym wypadku – celowo) wysłać poufne dane firmowe takie jak hasła, dane klientów, numery PESEL czy kart kredytowych. Myślę, że jest to główny powód dla którego warto rozważyć ograniczenie wykorzystywania takich modeli.

Naruszenia praw autorskich  – modele trenowane są na ogromnych zbiorach danych pochodzących z Internetu, często niestety bez zgody twórców. W wielu branżach może to rodzić poważne ryzyko prawne.

Geopolityka i kontrola technologii – nie wchodząc zbytnio w politykę, rządy mogą w przyszłości chcieć blokować modele pochodzące spoza własnego terytorium (np. właśnie z Chin czy USA).

Zapobieganie błędom – modele często podają błędne lub nieprecyzyjne informacje i wszyscy dobrze o tym wiemy. Ograniczenie dostępu może zmniejszyć ryzyko podejmowania błędnych decyzji przez pracowników korzystających z AI bez dodatkowej weryfikacji udzielanych informacji.

Konfiguracja Defender for Endpoint

Defendera można skonfigurować na dwa sposoby – albo poprzez CASB (cloudowy broker, zwany także Defender for Cloud Apps – dostępny w licencji Defender for Endpoint Plan 2), lub poprzez ręczne blokowanie za pomocą wskaźników zagrożeń (IoC). My użyjemy tego drugiego sposobu.

1. Zaloguj się do portalu Microsoft Defender (security.microsoft.com), przejdź do Settings -> Endpoints.
2. Przejdź do zakładki Indicators.
3. Wybierz URLs/Domains z listy typów IoC (możliwe są także: hashe, IP, certyfikaty).
4. Kliknij Add item i wprowadź adres URL (np. chat.deepseek.com) lub nazwę domeny (np. deepseek.com). Pamiętaj: blokując domenę, automatycznie blokujesz wszystkie jej subdomeny (np. api.deepseek.com). Do wyboru masz jeszcze pole Expires on, w którym ustawisz datę wygaśnięcia reguły – lub zaznaczyć opcję Never, po czym przejść dalej klikając Next.
5. W sekcji Action wybierzmy Block execution aby zablokować stronę. Inne z dostępnych funkcji to Allow, Audit czy Warn.
6. W zakładce Alert details możemy wyspecyfikować, czy chcemy wygenerować alert dla zdarzenia. Jeśli zaznaczymy opcję Generate alert, będziemy musieli zaznaczyć Severity (czyli „ważność” alertu) oraz Category.
7. W zakładce Organizational scope kliknij Next.
8. W zakładce Summary sprawdź wprowadzone wcześniej informacje i kliknij Submit.

Finalnie, powinno to wyglądać mniej więcej tak, jak na zdjęciu poniżej:

Konfiguracja Defender for Endpoint – Blokowanie dostępu do AI

Konfiguracja Microsoft Intune

Drugim krokiem jest konfiguracja polityk w Microsoft Intune.

1. Przejdź do portalu Microsoft Intune (intune.microsoft.com), przejdź do Devices -> Configuration).
2. Stwórzmy nową politykę klikając Create -> New Policy.
3. Zaznaczmy Windows 10 and later w sekcji Platform, a w Profile type zaznaczmy Settings catalog.
4. W zakładce Basic nadaj nazwę polityce.
5. W zakładce Configuration settings kliknij Add settings, wyszukaj Enable Network Protection.

Konfiguracja Microsoft Intune – Blokowanie dostępu do AI

6. Ustaw wartość Enabled (block mode) dla opcji Enable Network Protection.

Konfiguracja Microsoft Intune – Blokowanie dostępu do AI

7. Przy zakładce Scope tags kliknij Next.

8. W zakładce Assignments wybierz grupę, do której zostanie dodana polityka, po czym kliknij Next.

9. W zakładce Review + create kliknij Create.

Pamiętaj, że przypisanie polityki do użytkownika może potrwać nawet kilka godzin. Możesz też ręcznie wymusić synchronizację.

End user experience

Użytkownik, chcąc przejść na stronę deepseek.com powinien zostać powitany następującym powiadomieniem:

Dodatkowo, tak wygląda błąd strony w przeglądarce Firefox:

W taki sposób błąd pokazuje Microsoft Edge: