因员工“尝鲜”AI工具，迪斯尼泄漏4400万条机密数据

安代尔意识到自己被黑客入侵，立即联系了Disney的网络安全团队。次日，黑客团体Nullbulge在网上发布了超过4400万条Disney内部消息，包括客户隐私信息、员工护照号码和主题公园及流媒体收入数据。

2023年2月，安代尔在家用电脑通过代码托管平台GitHub下载了一款”免费AI图像生成工具”。这款表面正常的软件实则为恶意程序，黑客借此植入键盘记录木马，劫持了他存储所有密码的1Password管理器。

更致命的是，范·安代尔的1Password账户未启用双因素认证，黑客获取主密码后提取了密码管理器中数百个账号口令。通过窃取的Slack会话cookie，黑客直接登录其迪斯尼内部账户，潜伏五个月后突然发难。私人邮箱、儿童Roblox游戏账号、社交媒体悉数沦陷，甚至迪斯尼的财务数据、员工护照信息等核心资产也遭泄露。

根据2024年Work Trend Index Annual Report，78%的AI用户在工作中使用自带工具，52%不愿承认使用，显示出员工对影子AI的隐秘依赖。另一项研究表明，74%的ChatGPT（一种与DeepSeek性能接近的生成式AI应用）使用非公司账户，74%的Gemini和Bard使用也是如此，影子AI已经在企业中无处不在。

员工使用个人AI工具的动机多种多样：员工可能因现有工具效率低下而转向更便捷的AI解决方案，或希望提升个人和团队生产力。然而，风险不容忽视。IBM的研究显示，超过三分之一（38%）的员工承认在未经雇主许可的情况下与AI工具共享敏感工作信息，这可能导致数据泄露、合规违规和声誉损害。此外，影子AI工具在外部服务器上存储数据，增加被黑客攻击的风险，尤其是在使用开源AI模型时。

2025年CX Trends Report显示，某些行业影子AI使用率同比增长250%，如金融和医疗行业，凸显了监管的紧迫性。

技术解决方案也至关重要。部署监控和报告系统以检测未经授权的AI使用，如维护AI工具黑名单和白名单，可以有效防止影子AI的扩散。此外，定期审计和跨部门合作可以帮助组织在治理和创新之间找到平衡点。

最后，创造一个开放的沟通环境，鼓励员工报告他们希望使用的AI工具，并通过集中平台评估和批准新工具，可以减少影子AI的发生。例如，Dell的研究显示，91%的受访员工曾尝试生成式AI，71%在工作中使用，显示出员工对AI的强烈需求。通过教育和支持，企业可以引导这种需求走向安全轨道。

来源：GoUpSec，原文地址：https://mp.weixin.qq.com/s/nH2TZZ_l8v9LlUNKprDCwA