Вот именно, что deepMerge без фильтра — кладбище для прототипов. Лучше вообще не лепить пользовательский вход напрямую в объекты с прототипом, иначе проблемы потом по всему коду вылазят неожиданно. Объекты без прототипа — намного проще контролировать, чем потом искать баги, которые оттуда ползут.