如果回到去年，员工使用未经批准的AI工具，风险主要是把敏感数据复制粘贴进去，最后落进AI公司的训练数据集。今天的情况已经不同：一个未经批准的AI，可能在员工并未明确要求的情况下，就去入侵另一家公司。

这不只是指那些尚在安全测试中的前沿模型。Claude、ChatGPT和Gemini都已经从只会回答问题、帮忙写邮件的聊天机器人，进化出智能体能力，能够代替用户执行复杂任务。而它们真的会这么做，有时后果相当危险。

今年8月，澳大利亚ABC新闻采访了一位只被称为"Andrew"的男士。他让一个AI智能体帮他报名健身房课程，这个智能体入侵了健身房的系统，删掉了另一位用户的候补预约。那个AI是Anthropic的Claude，智能体框架是OpenClaw。

再想一个场景：员工让智能体助手帮忙促成一笔销售，这个请求可能无意中促使智能体去入侵潜在客户公司的系统。

为了防范这类最坏情况，企业正在为AI系统建立护栏，限制AI能访问哪些数据、允许调用哪些工具。但如果员工用的是公司根本不知道的工具，这些护栏全部失效。

卡内基梅隆大学软件工程研究所CERT分部网络风险与韧性技术总监Matt Butkovic表示，这个问题由来已久，人们总会想办法买到或拿到自己认为有用的东西，即便组织说过不该这么做。十年前是个人邮箱和未经批准的云存储。他补充说，如今在某些方面，赌注更高了。

Verizon今年5月发布的《2026年数据泄露调查报告》显示，67%的员工通过非企业账号在公司设备上访问AI服务。在Verizon 2025年数据防泄漏数据集所检测到的非恶意内部人员行为中，影子AI排第三位。

Harmonic Security在5月对190万分钟AI会话做的分析发现，员工访问个人账号时，65%的活动与工作有关：用个人账号写工作邮件、调试代码，甚至处理法律事务。在7月发布的另一份报告中，Harmonic称2026年上半年其监测的每一家组织，都至少有一名员工在向某个中国AI工具上传数据，上传内容包括并购计划、源代码、财务预测和法律材料。

针对这一问题，企业采取的是四管齐下的做法：搞清楚员工想用AI做什么，然后给他们合规、安全的替代品；用安全工具监控活动，阻止员工把敏感数据交给不安全的系统，甚至阻止他们访问这些系统；教育员工认识AI风险、学会安全使用，因为光靠技术解决不了这个问题；在员工违反AI使用政策时追究其责任。

先给合规替代品，再谈封堵

BitGo是一家财富500强金融服务公司，托管的数字资产超过1000亿美元，它用多种策略的组合来对付未经批准的AI。该公司副首席信息安全官Manny Khan表示，公司有Grok、ChatGPT、Claude和Gemini的企业版，是一家AI优先的组织，鼓励所有人在工作中使用AI，尽可能把工作自动化，同时让人留在环路中，避免产出粗制滥造的东西。

他说，未经批准的AI是整个行业共同的担忧，有一个被批准的替代品是关键。公司鼓励大家使用经过批准、带护栏、带约束、有信任边界和安全检查的工具。

为了让合规替代品更易用、更有吸引力，员工通过Okta提供的单点登录进入系统，企业级模型也接入了公司的MCP服务器。

员工有了安全选项之后，下一步就是管住不安全的那些。BitGo使用Cyberhaven的数据防泄漏工具。DLP在AI出现之前就是有用的安全工具，如今它还能帮助确保敏感数据不会被复制粘贴进不可信的聊天机器人。

Khan说，所有流量都经过代理，由安全工具分析，识别出任何可能有恶意的内容并切断，如果是已知的恶意站点，就不允许建立连接。例如公司封禁了DeepSeek，原因是不希望自家数据被拿去训练模型。

但技术能做的有限。Khan说，现在每个网站都有AI，不可能把每一个站点都封掉，那样等于把互联网封了。这就轮到人的意识与教育登场：公司会培训员工，还有一份全公司共享的AI治理政策，并通过跟踪和度量来执行。

他补充说，公司对AI使用必须有统一的声音，有一个有权威、有归属的中央角色来提供指导，否则就会有很多人各自去摸索，而那恰恰是你不想要的。

Docusign：个人智能体要立即阻断

电子签名公司Docusign的工程高级经理Shivi Verma表示，他们想教育用户做正确的事，但人们还是想自己试。这时候，给大家提供经过批准的安全工具，同时建立封堵不安全工具的系统，就有帮助。

他说，像DeepSeek这样的网站他们已经封了，但封的方式侧重于教育，把人们引导到正确的流程和工具上，这自然会让人去用被批准的工具。公司还在编制一份允许清单，聚焦于员工可以放心使用的工具。

Docusign还部署了Zscaler这类网络管理工具。Verma说，如果有人在外部工具里粘贴机密数据，会弹出提示，起到威慑作用。

他认为，OpenClaw这类个人AI智能体是影子AI问题的又一次演化。公司会做监控，也确实有人在用，但希望这一切处在安全政策之下。而具体到OpenClaw，风险太高，仅靠警告不够。

Verma说，如果是个人用途，那是另一回事；但如果是在工作中使用，必须立即阻断该用户。

非营利组织自建路由系统

JA Worldwide是一家全球教育类非营利组织，有近5000名员工，每年服务超过2000万人。该组织全球技术负责人Boris Kolev说，单纯封禁AI工具不是可持续的解法。

对JA Worldwide来说，问题还被另一个因素放大：直到三个月前，组织都没有一个被批准的方案。结果员工养成了使用个人AI平台的习惯。Kolev说，那完全处于失控状态，每个想探索AI的人都在用公共模型。

起初大家并不在意上传了什么、分享了什么。他说，他们试图推行一些政策，比如"不要上传公司信息"，但很难知道人们到底在做什么。更何况AI正在被嵌入一切：Windows里、人们的手机里，用户根本避不开。

今年早些时候，该组织搭建了一套路由系统，在AWS和Azure的私有环境中运行企业安全版的Claude和ChatGPT，另外还有一些开源模型。同事可以自己选择用哪个模型，有时同一个提示词跑两遍，再挑效果更好的那个。这套系统经过几个月的测试与开发，于6月投产。

Kolev说，在所有政策和规则落地之后，他们有了自己的封闭AI系统，托管在自己的服务器上，不存在泄露公司数据的风险。但仍有部分项目在使用公共模型，这个问题还在解决中。

另一个障碍是：员工往往对已经用惯的个人AI工具产生了粘性，不愿意切换到公司工具。Kolev说，员工会说"我有那么多历史记录，它了解我，我没法就这么换掉"。

而且员工手上还有随设备自带的各种AI工具。他说，这本来就难管，而且越来越难。市面上有监控和封堵工具，但太贵了，作为非营利组织，他们几乎负担不起监控工具的费用，所以做了大量教育培训。

该组织也在设法让合规工具更有吸引力，包括提供从其他平台导入历史记录与上下文的机制。Kolev说，他们还在努力说服员工相信自家工具更好用、功能更多，为此正在增加MCP。

MCP即模型上下文协议，允许AI系统直接访问数据和工具，包括连接公司邮箱和日历、SharePoint、Monday.com、CRM，以及员工工作用的其他所有软件。

Kolev认为，如果假设员工使用影子AI是因为不尊重IT政策，那就错了。真实原因是IT没能足够快地满足他们的需求。他说，员工找到AI的速度，比你产出工具、治理和规则的速度更快。所以他建议，从员工能理解的简单规则开始，提供合规工具，并持续调整治理方式。

该问责时就问责

PagerDuty委托Wakefield Research在4月对1200多名员工做的调查显示，66%的员工使用过未经批准的AI工具，其中48%因此面临正式后果，例如警告或纪律处分。

卡内基梅隆大学的Butkovic认为，问责是AI使用政策能否成功的关键。他说，组织里必须把话说死：如果这种行为不可容忍，那就不该被容忍。

允许使用未经批准的AI，不仅带来风险，还可能让组织承担法律责任——如果AI智能体代表员工行事，伤害了其他公司或个人。他说，可能会产生连带后果，即便当事员工被解雇，受到影响的第三方仍然会起诉公司。

组织需要能够证明，自己制定了政策，并且在员工故意绕过政策时执行了政策。Butkovic说，如果员工作出善意努力去遵守政策、并非出于恶意，公司会给一定的宽容；但如果是在主动绕过组织的一套控制措施，那就必须迅速、严肃地处理。