报告：89%的企业生成式AI使用不可见，或造成严重风险

发布于2025年2月28日2025年7月19日作者:cve-20

报告：89%的企业生成式AI使用不可见，或造成严重风险

THN 代码卫士 2025-02-28 10:36

聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

组织机构要么已经正在使用生成式AI (GenAI) 解决方案，要么正在评估将这些工具集成到业务计划中的策略，要么这两项工作都在做。要做出明智决策并进行有效规划，硬数据的获取至关重要，但此类数据仍然少得令人惊奇。

LayerX 公司发布《2025年企业生成式AI数据安全报告》说明了工作场所中使用AI工具的实际情况，同时强调了一些严重漏洞。该报告的数据基于LayerX企业客户的真实遥测数据，是对员工真实使用生成式AI工具进行详细说明的少有的可靠来源。例如，报告披露称，近90%的企业AI使用对于IT是不可见的，将组织机构暴露到严重风险中，如数据泄露和越权访问。

企业中的GenAI使用较为随意

虽然GenAI炒作似乎让人以为所有员工都将自己的办公室操作转向了GenAI，但实际上真实的使用却是不冷不热。大约15%的用户日常访问GenAI工具。虽然这一比例不容忽视，但也并非主流。

对报告分析后，笔者预计这一趋势将会快速加速，因为50%的用户目前都是每隔一周都会使用GenAI。

另外，报告发现，39%的GenAI 工具的一般用户是软件开发人员，也就是说因GenAI导致的最高比例的潜在数据泄露的源头是源代码和专有代码，以及在代码库中使用含有风险的代码。

GenAI是如何被使用的？谁知道呢？

由于LayerX 是在浏览器中使用，因此它可看到影子SaaS的使用情况。也就是说可以发现使用这些工具的员工并未得到所在组织机构的IT的批准，或者是通过非企业账号使用的。

虽然GenAI工具如ChatGPT用于工作目的，但近72%的员工通过个人账号访问这些工具。如果员工确实是通过企业账号访问的，则仅有约12%的人使用了单点登录。因此，近90%的GenAI使用对于组织机构而言是不可见的，这就导致组织机构无法了解“影子AI”应用以及企业信息在AI工具上的分享是不受控制的。

50%的GenAI数据粘贴中包含企业数据

还记得二八定律吗？在本例中，虽然并非所有的用户每天都在使用GenAI，但那些将内容粘贴到 GenAI 应用中的用户，确实是经常这么干，而且其中可能包含机密信息。

报告发现，在将数据提交给 GenAI 工具的用户中，他们平均每天将企业数据粘贴到GenAI工具的行为发生四次。这些数据中可能包括业务信息、客户数据、金融规划、源代码等等。

如何进行GenAI使用规划：企业必须知道的

这份报告说明设立管理GenAI风险的安全策略迫在眉睫。传统的安全工具无法解决基于浏览器的应用在现代受AI驱动的工作空间的问题。它们无法从源头即浏览器检测、控制和保护AI互动的安全。

基于浏览器的安全工具对于AI SaaS 应用、除ChatGOT以外的未知的AI应用、受AI驱动的浏览器扩展等可提供可见性。这一可见性可用于为GenAI提供DLP解决方案，从而使企业能够安全地将GenAI纳入规划并保护业务安全。

代码卫士试用地址：
https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

推荐阅读

OpenAI禁用朝鲜黑客的ChatGPT账号

微软扩展Copilot AI漏洞奖励计划范围，提高赏金

2025年值得关注的6个AI相关安全趋势