AI 使用控制 (AIUC) 是一种安全和治理能力，旨在帮助组织发现、了解和控制 AI 在整个企业中的使用方式。
人工智能使用控制是一个涵盖人工智能使用相关各种风险和挑战的总称，例如数据丢失防护 (DLP)、滥用或意外行为。随着各组织竞相将人工智能集成到日常工作流程中，同时也为数据泄露、违规和安全事件创造了新的途径。有效管理这一新生态系统需要一种超越简单禁令的战略方法，而应着重于安全地提升生产力。核心挑战不再是是否应该使用人工智能，而是如何负责任地管理人工智能的使用。
人工智能工具的快速普及从根本上改变了企业安全生态系统。员工为了提高工作效率，经常使用公开的人工智能平台和第三方扩展程序，而这些行为往往未经IT和安全团队的知情或批准。这造成了一个巨大的安全盲区，敏感的企业数据，从源代码和财务报告到个人身份信息（PII），都可能因此而泄露。如果没有健全的人工智能使用控制框架，企业将很容易受到各种新兴威胁的攻击，而传统的安全工具却难以应对这些威胁。
GenAI 的便利性带来了复杂的 AI 风险网络，其范围远不止简单的滥用。这些风险并非空谈，而是主动威胁，可能带来严重的财务、声誉和监管后果。了解这一新的攻击面是构建有效防御的第一步。
最直接的风险是数据丢失。员工经常将敏感信息复制粘贴到人工智能提示框中，用于生成代码、撰写电子邮件或分析数据。这种行为，无论是无意还是恶意，都是数据泄露的主要途径。一旦数据被输入到公共大型语言模型 (LLM) 中，组织就会失去对其的控制，从而造成严重的数据防泄漏 (DLP) 问题。传统的 DLP 解决方案通常监控网络和终端，但往往无法检查粘贴到 Web 浏览器中的数据，使这一渠道完全暴露在外。
免费和专业人工智能工具的激增催生了“影子人工智能”，这是影子IT的一种现代变体。它指的是员工未经授权使用未经审查的应用程序和扩展程序，这些程序和扩展程序在公司安全策略之外运行。每个未经授权的平台都有其自身的隐私政策和安全策略，造成了巨大的治理漏洞。安全团队通常无法了解正在使用哪些工具或共享哪些数据，这使得安全事件响应几乎不可能。
随着企业将人工智能功能集成到自身应用程序中，新的潜在漏洞也随之产生。配置错误的API可能成为攻击者访问底层人工智能模型及其处理数据的开放入口。这些不安全的集成可能导致大规模的系统性数据泄露，而且往往难以被发现。攻击者还可以通过大量查询来耗尽这些API资源，从而导致系统运行缓慢，并给按流量计费的服务带来巨大的经济损失。
人工智能驱动的浏览器扩展程序由于其通常权限过高，会带来重大风险。许多扩展程序需要访问所有浏览活动、剪贴板数据或会话 cookie 才能正常运行，这使它们成为攻击者的主要目标。这些插件中的漏洞可能导致会话劫持、凭证窃取和静默数据收集，即扩展程序在用户不知情的情况下将敏感信息传输到第三方服务器。
除了数据窃取之外，人工智能本身还可以被用于发起高度复杂的网络攻击。攻击者现在利用基因人工智能（GenAI）制作逼真的钓鱼邮件，这些邮件模仿合法通信，使得攻击者更难检测。他们还可以利用人工智能开发和调试旨在绕过传统安全措施的恶意软件，从而扩大企业面临的整体攻击面。
企业人工智能风险不再是纸上谈兵，而是已经普遍存在且日益加剧。影子人工智能（Shadow AI）已成为最常见且最严重的风险，其根源在于员工在IT监管之外使用未经批准的人工智能工具和扩展程序。与此同时，数据泄露仍然是一个持续存在的威胁，因为敏感信息经常通过人工智能提示而被共享。
API漏洞和提示注入攻击凸显了人工智能集成如何引入新的技术攻击面，而存在风险的浏览器扩展程序则通过过度授权和隐藏数据访问持续暴露组织机构的安全风险。这些风险共同表明，人工智能安全挑战涵盖用户、浏览器、API和应用程序等多个层面。
网络和终端数据防泄漏 (DLP) 解决方案通常缺乏理解用户在浏览器中意图所需的上下文信息。它们可以检测到加密的网络流量，但无法区分用户是在搜索引擎中粘贴无害文本，还是在未经授权的 AI 工具中粘贴敏感源代码。
GenAI主要通过网页浏览器访问，这已成为企业应用访问的新前沿。无法深入了解浏览器活动的安全解决方案无法有效监控或控制AI的使用。
许多传统工具只能阻止或允许访问整个网站。这种方法对于人工智能来说过于粗暴。完全禁止人工智能工具会扼杀创新和生产力，而放任不管则会带来风险。我们需要精细化的人工智能控制，既能保证其高效运行，又能防止危险行为。
AI 使用控制允许员工高效地使用 AI 工具，同时实施安全措施以防止风险行为。组织可以摆脱一刀切的禁令，安全地大规模采用 AI。
通过实时检查人工智能交互，AIUC有助于阻止敏感数据与公共人工智能工具共享。这弥补了传统数据防泄漏和基于网络的控制措施所存在的关键漏洞。
AIUC 能够清晰展现已获授权和未获授权的人工智能工具，包括影子人工智能。这有助于实现一致的策略执行、可审计性以及更强大的企业人工智能治理。
为了应对这些挑战，组织需要建立全面的AI治理计划。这个框架不仅仅是一份政策文件，而是一项结合人员、流程和技术来有效治理AI使用的运营策略。
有效的人工智能治理建立在透明度、问责制和持续监控等关键原则之上。它需要一个由安全、IT、法务和业务部门代表组成的跨职能委员会，以确保政策的平衡性和实用性。该委员会负责明确组织对人工智能的立场，并制定清晰的人工智能使用政策。
员工需要明确的指导，了解哪些行为是允许的，哪些行为是不允许的。AUP 应该明确规定哪些 AI 工具是被认可的，哪些类型的数据可以使用，以及用户在安全使用 AI 方面的责任。这项政策可以消除歧义，并为安全采用 AI 奠定基础。
有效的AI治理框架还必须应对更广泛的AI生态系统带来的风险。这包括在API级别实施控制，以限制AI工具与其他应用程序之间的数据流。此外，安全团队需要能够审核基于AI的浏览器扩展程序，评估其权限，并阻止任何未经批准或被认为存在风险的扩展程序。
由于大多数 GenAI 交互都发生在浏览器中，因此浏览器级 DLP 解决方案至关重要。这些解决方案可以实时检查用户交互，从而检测敏感数据何时被输入到 AI 提示中。然后，它们可以根据策略阻止该操作、编辑敏感信息或在数据泄露前向安全团队发出警报。这提供了传统工具所缺乏的重要保护。
无法掌控你看不到的东西。任何 AI 使用控制策略的基础步骤都是对整个组织正在使用的所有 AI 工具（尤其是影子 AI）进行全面盘点。这需要能够持续审计所有 SaaS 和 AI 应用程序使用情况（包括在浏览器中访问的工具）的技术。
与其全面禁止人工智能，不如采用基于风险的方法更为有效。这种方法涉及应用精细化的控制措施，允许低风险的使用场景，同时限制高风险活动。例如，公司可以允许员工使用公共的 GenAI 工具进行一般性研究，但禁止他们粘贴任何被归类为个人身份信息 (PII) 或知识产权的数据。这种细致入微的人工智能控制方法需要一个能够深入洞察用户行为的解决方案。
为了实现这种精细化、情境感知的安全防护，越来越多的组织开始采用 LayerX 等解决方案。LayerX 直接在浏览器中运行，能够提供管理现代人工智能风险所需的深度可见性和实时控制。
想象一下这样一个场景：一位市场营销人员正在使用未经授权的人工智能工具协助起草新闻稿。他们试图粘贴一份包含未公布的财务数据和客户名称的文档。传统的安全解决方案很可能无法检测到这一行为。然而，像 LayerX 这样的浏览器级解决方案可以：
人工智能的使用控制是现代企业的关键原则。它并非要限制创新，而是要创建一个安全的环境，让创新蓬勃发展。GenAI 工具的激增带来了一系列新的风险，从通过影子人工智能 (Shadow AI) 泄露数据，到不安全的 API 集成和恶意浏览器插件。传统的安全工具根本无法应对这种动态且以浏览器为中心的威胁生态系统。
有效的 AI 治理需要以可见性、精细控制和实时预防为中心的全新战略。通过制定清晰的策略、部署浏览器级 DLP 并利用先进的解决方案来监控和控制整个 AI 使用生命周期，企业可以主动管理其 AI 风险。这使其能够在生产力与安全防护之间取得平衡，使员工能够安心安全地使用 AI。
人工智能使用控制 (AIUC) 是一项安全和治理功能，可帮助组织发现、了解和控制企业内部人工智能工具的使用方式。它能减少数据泄露、滥用和合规风险，同时促进负责任的人工智能应用。
人工智能带来的风险是现有安全工具无法应对的，尤其是在基于浏览器的工作流程中。AIUC 通过专门关注人工智能交互、使用模式和数据泄露风险来弥补这些不足。
传统安全工具无法查看或控制网络浏览器内部或现代人工智能工作流程中的人工智能使用情况，从而造成安全盲区，导致敏感数据泄露、合规性规则被违反以及安全风险的引入。AIUC 通过提供可视性和控制力来弥补这一缺陷。
SSE 和 CASB 解决方案主要关注网络流量和应用程序访问。而 AI 使用控制则侧重于浏览器内的用户操作和数据交互，因为大多数 AI 风险实际上都发生在这里。
大多数人工智能工具都是通过浏览器访问的，这使得浏览器成为人工智能交互的主要场所。浏览器级别的控制提供了有效管理人工智能使用所需的上下文和粒度。
AIUC 有助于解决诸如公共 AI 服务的数据泄露、影子 AI 使用、不安全的 API 集成、有风险的 AI 扩展以及 AI 生成的威胁（如复杂的网络钓鱼或自动创建恶意软件）等风险。
AIUC旨在平衡安全性和生产力，它允许低风险的AI操作，同时阻止或编辑高风险操作，而不是简单地禁止所有AI使用。因此，它不会对用户生产力产生负面影响。
组织应关注人工智能使用情况、浏览器级强制执行、数据丢失防护、扩展和 API 控制以及灵活的基于风险的策略管理等方面的可见性。
AIUC 专注于监控与风险和治理相关的行为；大多数私人数据处理都在浏览器本地进行，不会向外传输，从而最大限度地减少隐私问题，同时实现安全监督。
虽然 AIUC 对大型组织至关重要，但任何使用 AI 工具的企业，特别是那些处理敏感或受监管数据的企业，都可以从结构化的 AI 使用治理中受益。
