影子AI是真实存在的，Vanta希望帮助管理它

html

“影子IT（Shadow IT）”——公司员工在没有任何高层明确指示或授权的情况下使用科技产品——并非新鲜事。这一现象至少可以追溯到一些胆大的专业人士购买名为“个人电脑”的新奇设备并将其带到办公室的时代，那时办公桌上放一台电脑还不是常态。

但AI热潮使影子IT比过去更乱。许多雇主向员工施压，要求他们用上这项技术，却没说清楚怎么高效又安全地用它。看到这些可能性后，员工可能会将敏感数据喂给功能强大但难以预测的AI工具。即使大家都没坏心，可能出岔子的事多了去了。

据信任管理平台Vanta的联合创始人兼首席执行官克里斯蒂娜·卡乔波说，其超过1.6万家客户里，大约70%的公司内部都有某种影子AI。“这基本就是你说的那种情况：公司里有人抢着用新AI工具，这工具可能挺有前景和价值，但没经过正式安全审查，”她说。

这时候，Vanta推出了一款名为“Vanta风险助手”的新工具。它能够梳理出组织的供应商和工具、数据及其他资产；合规责任；以及诸如AI政策之类的控制措施，目的是把各种关系和风险区域整体看清楚。这个助手“能搞懂你公司里正在发生的各种事，”Vanta的首席产品官杰里米·埃普林说。“不管是外部第三方供应商带来的风险，还是内部谁能看哪些数据的风险。”

超过400个集成系统为代理的报告提供数据支持。“我们有超过1400项测试，持续评估您组织中的不同安全控制措施，”Epling表示。“我们的[亚马逊网络服务] S3存储桶是否已加密？员工是否接受背景调查？是否按时完成？谁有权访问什么？访问级别是否恰当？我们将所有这些数据汇总起来，再结合Vanta代理的情报。”该公司还推出了几项配套功能，包括一个用于第三方风险管理的代理、一个AI风险库知识库，以及一个量化财务、品牌和运营影响风险的评分系统。

更多AI，更多风险

Vanta的数据为普遍感受到的“创客文化”的兴起提供了一些具体数字。各组织正以前所未有的方式，将产品工程分散到各个团队，导致构建者角色同比增长311%。“GTM工程师”职位增长了1,329%；“法律工程师”职位增长了850%。许多其他员工也受到激励，尝试随性编程，以免被那些比自己更擅长使用技术的人抢走工作。

Epling表示，所有这些构建活动的结果是，“明年我们编写的软件可能会超过过去10年的总和。”更多的软件意味着来自更多供应商的更多工具：根据Vanta的数据，在设有构建者角色的公司中，AI供应商的采用率比没有此类角色的公司高出73%。然而，公司仅审查了此类供应商中的7%，尽管Vanta认为其中30%属于关键或高风险。最终，88%的风险未得到处理。

风险管理工具代理单靠自身不会消除人工智能问题。但它能持续更新组织内部的实时动态，提供一个原本可能没有的起点。“我们仍强调人工参与，所有环节都需要人工批准，但它会建议你调整政策、控制措施或其他类似方面，”Epling 说。

Cacioppo 和 Epling 都强调，Vanta 的代理不是要打压基层自发尝试的 AI 应用，Epling 说这些应用“正帮公司实现前所未有的效率”。相反，目标是让这些零散的 AI 使用更安全、风险更低。Cacioppo 说，如果没有管理机制，公司“可能根本不知道这些工具在被使用，也没机会考虑它们怎么配置、哪些数据被输入进去。”

“信任是 AI 时代的核心挑战”

Vanta 的创业故事从 Dropbox 开始，Cacioppo 当时是产品经理，负责一个叫 Paper 的协作编辑文档的工具。她负责处理合规文书，这活儿很繁琐——涉及像SOC 2 和 GDPR 这类规定。这让她琢磨，这流程能不能优化。她跟安全专家聊了很多，这让她确信流程能改。她和 Dropbox 同事 Erik Goldman 联手创立了 Vanta，后来入选了创业加速器 Y Combinator 的 2018 年冬季班。

红杉资本合伙人安德鲁·里德牵头了红杉对Vanta的投资，如今担任其董事会成员。他最初注意到这家初创公司时，这家公司没拿一分钱风投就做到了1000万美元营收，这是一项罕见的成就。（截至4月，Vanta的年经常性收入九个月前还是2亿美元，现在已经涨到3亿美元。）据里德称，这家公司的眼光从来就不止于帮企业搞定合规这种琐碎但有用的活儿。而且，AI越普及，它帮企业管住运营流程的那套规矩就越重要。

“Vanta的创始使命是守护互联网安全，”他说，“结果发现，让大家按标准和认证来办事，是理顺他们安全体系的一个特别管用的招儿。到了智能体时代，你跟客户怎么打交道、在网上怎么做生意，这些事儿带来的风险，跟以前完全不一样了。”

AI既能解决老问题，又能制造新麻烦，这种让人脑洞大开的本事，可比卡乔波当年在Dropbox跟合规问题死磕时碰到的商业难题要厉害多了。不过，这么多公司都觉得得赶紧把这技术弄明白，这事儿摆明了就是给Vanta送上门的机会。

“信任是人工智能时代的一个决定性难题，这些新的人工智能公司正受到更多的审视、更多的问题、更多的安全审查、更多的调查表，反正就是没完没了的多，”她说。“因为我们都对它们的潜力感到兴奋，但也对它们的能力有点发怵。现在不是2016年或2006年了，那时我们更轻率地觉得，‘哇，新玩意儿——我就注册一下，让它随便用我的银行账户，因为它可能会做点有用的事。’那绝对不是2026年的调调。”