AI工具普及与安全事件频发，企业治理亟需加强

根据网络管理厂商Jamf于近日发布的一份报告，在运营macOS网络的企业中，超过五分之一的组织因使用AI工具而遭受经济损失或网络攻击。调查还显示，约十分之六的macOS企业预计在不久的将来将面临AI相关安全事件。

该报告基于对687名管理macOS网络环境的IT及安全负责人的访谈，涵盖了系统管理员的AI部署优先事项、主要风险领域以及Jamf提出的应对建议。

AI部署现状与风险

Jamf报告显示，macOS企业对AI的采用已相当普遍，约73%的受访者表示已完成部署，另有20%正在探索部署方案。然而，负责推进AI落地的网络管理员面临着多重风险挑战。

其中最主要、也最广为人知的风险是"影子AI"，即员工私自使用未经批准、缺乏监管的AI工具。Jamf在报告中指出，一旦"IT部门对企业内使用了哪些AI系统一无所知"，就会"导致安全管控和合规治理极为困难，甚至根本无法实现"。

智能体AI正在企业中快速普及，但同样伴随着不容忽视的风险。报告显示，IT与安全负责人普遍反映，他们在部署AI智能体时面临两难困境——既要赋能用户，又要防止数据泄露。报告特别警示："在拥有适当权限的情况下，智能体AI一旦引入存在安全漏洞或问题的代码，或者移除关键代码，将对代码库构成严重威胁。"

AI供应商多元化带来的管理挑战

AI厂商数量庞大，也给负责采购的技术主管带来了相当大的压力。Jamf在报告中指出："在AI快速迭代的背景下，IT团队逐一评估和部署每一款AI工具既耗时又费力。"

此外，AI普遍采用的按使用量计费模式，时常给企业带来预算上的"意外惊喜"。由于治理机制缺失，IT主管往往不清楚企业究竟持有多少付费授权，也难以判断哪些工具真正物有所值，这一问题在治理薄弱的环境中尤为突出。

治理优先级不足引发隐忧

有效应对上述挑战，有赖于完善的AI治理体系。然而，在受访者的优先事项排序中，AI治理仅位列第三，排在IT管理自动化和借助AI提升员工生产力之后，而AI安全改进更是位居第五位。

随着AI应用的不断深入，治理问题将愈发迫切。Jamf的数据揭示出一个规律：企业对AI的使用程度越深，发生AI相关安全事件的概率就越高。在仍处于探索阶段的企业中，安全事件发生率不足20%，处于较低水平；而在已将AI"深度集成"到业务流程中的企业里，这一比例则上升至27%，位于高位区间。

降低风险的实践建议

为有效降低AI风险敞口，Jamf建议企业采取以下措施：通过定期审计提升可见性；将管控重心从用户行为转向软件本身，并严格执行数据访问策略；在AI部署的最早阶段就将治理机制纳入其中；以及尽可能优先采用内置工具，以获得最简洁高效的使用体验。

Q&A

Q1：什么是"影子AI"，它为什么会对企业造成安全威胁？

A：影子AI是指员工私自使用未经IT部门批准、缺乏统一监管的AI工具。由于IT团队对这些工具的使用情况毫不知情，无法对其进行安全评估和合规管控，一旦这类工具存在数据泄露或安全漏洞，企业将面临难以预知的风险。Jamf报告指出，这种"可见性缺失"使安全治理极为困难，甚至无从实现。

Q2：AI智能体在企业应用中存在哪些具体风险？

A：根据Jamf报告，AI智能体的主要风险在于权限管控与数据安全之间的平衡难题。一旦智能体被赋予不当权限，可能向代码库中引入存在安全漏洞的代码，或误删关键代码，从而对企业系统造成严重损害。此外，如何在赋能用户与保护数据之间找到平衡点，也是IT和安全团队面临的核心挑战。

Q3：企业应如何建立有效的AI治理机制来降低安全风险？

A：Jamf建议企业从以下几个方面入手：定期开展AI工具审计，提升全面可见性；将管控重心放在软件层面而非单纯约束用户行为，并严格执行数据访问策略；在AI部署初期就将治理框架同步纳入规划；同时优先使用平台内置工具，减少第三方工具带来的管理复杂度，从而在整体上降低安全事件的发生概率。