NCSC：71%员工用未经批准的AI，公司看不到也管不住

英国国家网络安全中心（NCSC）发出警告：员工在公司批准的系统之外使用AI工具，可能暴露公司或客户数据。组织对这些信息的可见性也会跟着下降，控制力大打折扣。

这个警告有具体数字支撑。NCSC援引研究称，71%的员工使用雇主未批准的AI工具。换句话说，绕开官方渠道用AI处理工作，在许多公司里已经是常态，不是个别人的选择。工作内容一旦从个人账号流进外部AI服务，公司就看不到、管不住了。

风险不只出在员工个人。NCSC提醒，AI代理是另一层隐患。AI代理通常被授予访问数据库、邮件的权限，如果它存在漏洞或配置不当，攻击者就能拿到代理能访问的数据、服务和权限。一个AI助手被攻破，波及的范围可能超过单个员工。

NCSC的应对思路不是禁止AI，而是让批准的路径可用。它建议团队先弄清人们为什么绕开官方渠道，提供更安全的替代方案，把风险降下来。别指望这种使用方式自动消失——员工有真实需求，禁是禁不掉的。

NCSC没有给出安全替代方案的具体示例，也没提研究样本覆盖哪些行业、AI代理漏洞具体属于哪些类型。它给出的方向是：先理解需求，再提供更安全的选择。