买了AI-BOM,锅还是你背:影子AI的治理,该从\"堵疏结合\"说起

原创

AI安全迪哥
AI安全迪哥

AI安全迪哥

2026年10月27日 13:51
江苏

去阅读

先说一个不好听的判断：市面上大多数 AI 资产治理产品，卖给你的不是发现能力，是一张更漂亮的免责声明。

它们都能回答\"你有哪些 AI 资产\"。可影子资产的定义，恰恰是\"你不知道你有哪些\"。覆盖率 95% 的分母，是你已经知道的那部分；影子资产按定义不在分母里。这个数字只能证明你对已知的部分管得不错，对未知的部分，它没有任何度量能力。你大概见过那份选型清单：

• AI-BOM 带不带模型血缘
• SBOM 能不能解析 GGUF
• 探针支不支持 MCP
• 指纹库多久更新一次

AI-SBOM 解析得了模型格式，解析不了谁在用它。清单越长，越像一张安全感的收据。上线那天大屏全亮，汇报里多一页\"AI 资产全景图\"。

三个月后

某条业务线用部门自己充值的 API Key，把一批客户工单喂给了一个你没听过的模型服务。

复盘会上没人问你产品选得对不对，只有一句：我们不是已经有 AI 资产管理平台了吗，为什么没发现。

你避开了清单上的每一个坑，掉进了清单没有写的那个。

影子 AI 不是没扫到，是不在你的账上

多数选型讨论默认影子 AI 是\"还没扫到的资产\"，加探针、扩规则就能逼近。但有几类东西，在原理上就不产生你期待的信号。

01本地推理

研发笔记本上的 Ollama 默认绑在 127.0.0.1 的 11434 端口，模型跑在本机，没有出站流量。探针不是漏报，是没得报。同理还有 LM Studio、llama.cpp、vLLM，换个端口就能再藏一层。

02stdio 模式的 MCP

协议文档写得很清楚，客户端把 MCP 服务拉起成子进程，通过标准输入输出收发 JSON-RPC 消息。它连 socket 都没有。一个 Agent 挂上文件系统、数据库、浏览器几个 MCP server，就能以员工本人的权限读写大量数据。

03SaaS 里陆续打开的 AI 开关

文档、IM、CRM、工单系统加上 AI 功能后，域名没变，流量模型没变，你的白名单照旧放行。变的是数据的处理方：多了一个模型供应商，甚至多了一层它的子处理方。

04中转站

为了用上官方渠道没有的模型，或者为了便宜，个人或小团队用开源聚合项目搭起 API 中转服务。域名千变万化，服务者身份不明，数据过手的是一个你连主体都查不到的陌生人。

还有两类不在网络层：员工个人设备加手机热点；供应商交付物里的模型调用，合同没写，验收没问，上线后某个功能在向外部模型发请求。

安全不是必经节点

业务方也不会通知你。多数时候谈不上故意瞒，是在他们的流程里，安全部门不是必经节点。一个 AI 功能上线，走的是产品评审、研发排期、灰度发布，安全评审在不在里面，取决于有没有人想起来。

这些形态看起来五花八门，共同点只有一个：证据不在你的安全设备里。

本地推理的证据在终端，stdio MCP 的证据在配置文件，SaaS 的证据在供应商后台，中转站的证据在代码仓库，付费型影子 AI 的证据在报销单，授权的证据在 IdP。它们分散在财务、IT、研发平台和终端管理四个方向，很少有安全部门能同时读到这四本账。

这就是为什么\"再加一层探针\"解决不了问题。问题不在传感器，在那几本账的读取权。

安全部门通常只有流量和 EDR。你想发现影子 AI，先得让财务账、身份账、代码账、终端账对你开门。这不是产品选型能解决的，是组织授权。

还有一点比\"扫不到\"更根本：AI-BOM 记录的是组件，风险来自组合。同一个模型，不接工具，是个聊天窗口；接上读文件和发邮件的工具，就是一个能外传数据的自动化主体。BOM 里只有一行，没变，风险量级已经换了一档。你该盘点的是一个能力闭环：模型、工具、数据、凭据、触发方式，缺一项，风险就不是一个量级。

至于 AI-BOM 真正的用处，迪哥认为不在内部。对内，你没法靠它发现不愿入账的人；对外，你可以在合同里写明，供应商必须披露交付物中的模型、调用的第三方 AI 服务和数据流向，交付时出具清单。采购方的话语权，比内部的行政命令管用得多。

AI-BOM 对内是台账，对外才是武器。

只堵的账：你封掉的是可见性

先看一个大家都熟的画面。

一条有日志的路，换成一条没日志的路

远程连接管得越来越严：直连封了，跳板机要审批，审批三天。一个赶上线的研发等不起，在自己能控制的机器上起了一个隧道程序，从 443 出去。

原本在你视野里、有日志、有审计的一条通道，换成了一条没有日志、没有审计、你不知道它存在的通道。

这不是影子 AI 的例子，但它把结构演给你看了：堵住一条有日志的路，不会让人停下来，只会让他换一条没有日志的路。需求没有消失，只是被转移到了你看不见的地方；风险总量没降，可见度降到了零。

AI 治理里，这笔交换正在以更大的规模发生。

01封掉官方域名

员工本来在用有合同主体、有合规披露的官方服务，你封了之后，他转向中转站。数据从一家你可以审查的公司，流向一个你无从审查的站点。有的中转站还要你填自己的 Key，等于把凭据也交了出去。

02收进白名单

他就在文档、IM、CRM 里打开内置的 AI 开关。域名没变，流量没变，白名单照旧放行。你没有拦错，你是根本没有看见。

03出口检测

对\"改写\"基本失效。关键词、正则、指纹这套匹配逻辑，面对\"帮我总结这份合同的要点\"是失灵的：身份证号被摘要掉了，商业条款还在；原文被翻译、改写、向量化之后，指纹对不上。拦住的是原样搬运，而 AI 使用的本质是加工。

04收紧审批

模型更新以周计，你的审批以半月计。流程走完，业务要的那个版本已经过时，他得到的信息是\"走流程没用\"。下一次，他不会再走。

05变成\"一切先拦\"

影子 AI 的线索，常常不是探针发现的，是吃饭时一句\"我们那边最近在用个新东西\"。这句话不会再讲给你听。你会变成全公司最后一个知道真相的人。

06看自己的 KPI

拦截次数下降、告警量下降、违规事件减少，你拿它们证明治理有效。但这几个数字，同样也是\"业务学会了绕开你\"的样子。

你无法从看板上区分\"风险下降\"和\"视野下降\"。越严的管控，这个区分越难。

干这行久了，我越来越警惕一种安全感：看板全绿，报表齐全，问题都在\"已闭环\"里。影子 AI 恰好长在这种安全感的反面。它不在你的看板上，因为它根本不需要经过你的看板。

我们这行有个职业病，把\"我能拦住\"当成\"我看得见\"。拦住的是经过你的那部分；绕开你的那部分，才是影子资产。

你封掉的不是风险，是风险的可见性。

业务不是不配合，是算过账

很多安全人遇到影子资产，第一反应是\"业务不配合\"。换个角度，站在业务负责人的位置算账。

而你们的实际后果是什么？大多数情况下，是补个流程、写份说明。概率低、后果轻，隐瞒就是理性选择。

安全部门遇到这种局面，习惯加大处罚力度。但对一个\"觉得自己不会被发现\"的人，处罚多重都没用。起作用的是被发现的确定性，不是后果的严厉度。靠通报批评吓不住人，让人觉得\"迟早会被看到\"，并且\"主动说比被抓到划算\"，才是有效的。

有人会说，那就把处罚加重、把审批收紧。加重处罚，提高的是被抓之后的成本，没有改变被抓的概率；收紧审批，提高的是合规路径的摩擦，正好把更多人推向影子路径。这两件事一起做，得到的是一个更安静、也更黑的看板。

责任窗口不是宽容，是算账

窗口内主动登记不追责，窗口外被动发现从重。你把隐瞒的期望值翻过来，他才有可能走过来。

还有一条更少人说的：不少影子 AI 的批准人就是业务负责人，不是偷偷用的员工。他批的理由很简单，等不起。你把他当违规者，他就把你当障碍；你把他当客户，他才会告诉你下一个需求。

疏：让官方通道在竞争里赢

很多\"统一 AI 网关\"建了没人用，因为它只做了一件事：收口。收口对业务没有价值。

官方通道要赢，不是要被服从。

要让业务主动迁移，官方通道至少要在四件事上赢。

01迁移成本

网关提供与主流 API 兼容的接口，业务改一行 base\_url 就能切过来，代码不用动。一个需要重写调用逻辑才能接入的网关，注定输给一个直接粘贴 API Key 的野路子。这一条决定业务用不用你。

02新模型上架速度

业务用影子 AI，多数时候不是想违规，是官方清单里没有他要的东西。新模型从发布到官方可用之间的天数，直接决定影子 AI 的存量。这个数字可以每周统计，比\"资产发现数\"更接近治理的真实水位。

03替业务省事

统一的额度和成本归集，业务不用再自己充值报销；预置的脱敏；出问题时业务自己也能查的调用回溯；免管理的 Key。让他们觉得走官方是在省事、省钱、出事有据可查，而不是在交保护费。

04分级按能力闭环

对每一个 AI 使用，只问三个问题：能读到什么数据？能执行什么动作？由人触发还是自动触发？三项都低的，只读非敏感数据、无外部动作、人工触发，登记即用，不审批。只有读敏感数据、有写权限、能自主行动的组合，才进入重审。

把摩擦只花在这一小部分上，剩下的人才有理由守规矩。

还有一件安全部门自己做不了、但决定成败的事：修正责任的不对称。

影子资产的根本结构是，业务拿收益，安全背风险。批的是他，写检查的是你。要想改变，必须有管理层背书的规则。

基线内使用：走网关、不含指定级别数据、无高危权限，默认合规，出问题按共担处理

绕过基线：责任归使用方

残余风险：让业务负责人签一份风险接受单

他不签，就说明这件事还没被真正决定。没有这一层，上面所有\"疏\"都是安全部门的一厢情愿。

这套逻辑有一个前提，组织还打算让业务用 AI。如果管理层的目标是全面禁用，那是另一道题，本文不适用。

收口之前，先想清楚收的是什么口

2026 年 3 月 24 日，LiteLLM 的 1.82.7 和 1.82.8 两个 PyPI 版本被投毒，恶意文件收集环境变量、SSH 私钥和云凭证。

统一网关把全公司的模型 Key 和数据流集中到一个点，它从上线那天起就是最该被保护的那台机器。

堵：只堵在不可逆的后果上

AI 应用的数量没有上限，你追不上。但 AI 能碰到的东西是有限的。影子 AI 再隐蔽，也绕不开四件事：它要花钱、要用身份、要碰数据、要执行动作。堤坝应该修在这里。

01钱

把\"AI 类支出不经统一渠道，不予报销、不予采购入账\"写进财务规则。这是成本最低、覆盖最广的一道堵：一条财务规则，胜过十套网络策略。它挡不住个人自费，但把大多数部门级、项目级的影子用法逼到了台面上。

02身份

Agent 不能再借用员工的个人凭据行动。借用的结果是，审计日志里全是\"张三操作\"，你分不清是张三点的，还是 Agent 自己决定的，出事后无法归因，也无法单独对 Agent 限权或吊销。方向是给 Agent 签发独立的、短期的、按任务授权的凭据，并记录\"代表谁\"。

03数据

出口检测对 AI 场景有天然缺陷，所以把控制点前移到\"数据被读取的地方\"：数据平台、知识库、文档系统在读取时校验，这份数据是否允许被 AI 处理。没有数据分级的底子，先从最敏感的几个库做起，而不是全面铺开。

04动作

任何对生产环境、对外发送、资金流转的写操作，不论是人还是 Agent、用什么工具，都要有统一的二次确认。要点是确认通道与执行通道分离，不能由发起动作的 Agent 自己点确认。

身份这一条要展开说。微软在 Entra 的智能体身份设计中，继承来的权限不会作为权限显示在管理后台，也不会出现在 Graph 里，只能在运行时从令牌内容里观察。另一方面，sponsor，也就是业务责任人，是创建时的必填字段，但 sponsor 只能禁用、改 sponsor、软删除，不能重新启用，也不能恢复软删除；能恢复的是 owner 或管理员。

翻译成甲方语言：连把智能体身份做得最细的那家，都把\"有效权限\"和\"责任人\"拆成了两个问题。你采购任何智能体平台，至少问三件事。

采购智能体平台，至少问三件事

Agent 的凭据能不能单独吊销？

它继承来的权限，在管理界面能不能看见？如果看不见，我从哪里看？

创建时谁签了名，这个人离职后谁接管，谁有权把停掉的 Agent 恢复回来？

这三个问题比\"支不支持 Agent 管理\"有用得多。

这里堵的是后果不可逆的点，与\"不被允许的应用\"无关。应用清单每周都在变，后果清单一年也变不了几条。

看：别指望一个探针，去看四本账

回到发现。单点探针不够，要做多源交叉。下面这些信号，大多是你公司里本来就有的数据，只是从没有人把它们和 AI 安全联系起来。

财务账

报销与发票上的供应商名称、公司卡账单、云账单里的 GPU 实例和托管模型服务。这是最被低估的一路，因为影子 AI 要花钱，而花钱会留下单据。

身份账

IdP 里第三方应用的 OAuth 授权记录和 scope；浏览器扩展清单，有的 AI 类扩展会索要\"读取所有网站数据\"。授权页上\"读取你所有文件\"和\"读取你选择的文件\"是两个不同的 scope，后者才是可以谈的。

代码账

仓库里 base\url、OPENAI\_API\_BASE 被改写的位置；密钥前缀，sk-、sk-ant-、AIza、hf\；依赖里的 AI SDK。base\_url 指向未知域名，是中转站最强的信号。密钥前缀只能作辅助，sk- 多家共用，必须结合 base\_url 判断。

终端账

进程与监听端口：Ollama 默认 127.0.0.1 的 11434，LM Studio、vLLM、llama.cpp 各有常见端口；.gguf、.safetensors 大文件；GPU 占用；Agent 配置文件，那里记着它接了哪些工具，也就是它真实的能力边界。

这四本账没有一本在安全部门手里。所谓发现能力，拼到底，是这四本账的读取权。影子 AI 不是没扫到，是不在你的账上。

还有一件事要记住：发现的目的，是把人收进来，不是把人抓出来。每发现一个影子 AI，先问\"你为什么没走官方通道\"。这个答案就是你下一个官方能力的需求，也是你新模型上架清单里的下一项。

你怎么才能不背锅

无论疏得多好，个人设备加手机热点这一类，你永远看不全。承认这一点不丢人，掩盖这一点才丢人。

所以向上汇报的方式也要换。不要再只报\"覆盖率\"，要同时报一份盲区清单。每一条写清楚五件事：

我看不见什么

为什么看不见

如果出事，最坏影响是什么

目前做了什么对冲

需要谁来做决定、接受哪一部分残余风险

这份清单的意义，不在于展示你的不足，而在于改变复盘会上那句话的答案。从\"我们明明部署了平台\"，变成\"这一类风险我们在某月某日就提示过，并且已经提交管理层决策\"。

背锅的人，往往不是风险最大的那个，而是宣称\"已经覆盖\"的那个。

所有 AI 资产管理产品，本质上都在回答\"你有什么\"。但影子资产的定义，恰恰是\"你不知道你有什么\"。靠堵，你换来一个更干净的看板和一片更深的黑暗；靠疏而不堵，你守不住那几个绝不能失守的点。真正的做法是，让走官方通道比绕路更划算，把堤坝只修在后果不可逆的地方，再诚实地把你看不见的部分，摊开给能做决定的人。

影子 AI 不会消失。但它会从一颗你不知道什么时候引爆的雷，变成一份你清楚地知道在哪、有谁负责、出事后能追溯的清单。后者，才是甲方安全建设者能真正交付的东西。

如果明天老板问你，我们还有多少影子 AI，你手里除了覆盖率，还能拿出什么？