你的AI Agent正在公司内网裸奔，IT部门一无所知

2026年7月，一个叫Max Hemingway的安全架构师在他的博客上发了一篇文章，标题直白到刺眼：“影子AI是企业级风险的定义性特征”（Shadow AI is the Defining Enterprise Risk）。

文章提出了一个让CISO们后脊发凉的概念——“影子智能体”（Shadow Agents）。这些自主AI进程在API层运行，将各种工具链式组合，完成多步骤工作流。它们无需登录，不生成会话记录，不等人类批准。它们已经在你的企业系统内部悄无声息地跑了几个月，而用来管理它们的治理基础设施，还停留在PPT阶段。

这不是传统意义上的”安全漏洞”。没有人”入侵”了你的系统。是你自己的员工——开发、运维、甚至产品经理——主动把这些Agent放进了内网。动机很简单：效率。一个Agent能取代三个小时的重复劳动，为什么要等IT审批一份半年前提交的工具申请？

不是会不会，是已经在发生了

Hemingway用自己的项目做了一个思想实验。他给一个个人Agent工具特意内置了SHA-256链式审计日志——不是为了好看的工程实践，是由于他发现：如果没有这套日志，他完全无法记录Agent为什么做出每一个选择，只能看到最终产出的结果。

这个”可见结果”与”隐形推理”之间的鸿沟，就是影子智能体治理危机的核心。一个企业的开发团队可能同时运行着数十个Agent——有人用Claude Code写后端，有人用Cursor写前端，有人用Perplexity Teammate做全流程管理，有人在终端里跑着从GitHub上随手clone下来的开源Agent框架。这些Agent在不同层级上访问着公司的代码库、数据库、CI/CD系统、云服务API。

没有一个统一的审计层能看到它们。由于它们根本没有被纳入任何治理体系。

问题的起点很朴素：按Token计费的云端推理成本，在企业级Agent规模化后迅速暴增。过去一次API调用只消耗几百个Token，目前一个自主Agent跑一个任务可能要几百次调用，成本翻了数十倍。于是团队开始往本地推——谷歌在2026年6月发布的Gemma 4 12B就是最明确的信号：专为16GB显存的消费级硬件设计，多模态AI完全本地化部署，不依赖任何云端API。

好的一面是，成本降了。坏的一面是，Agent从”云端可审计的API调用”变成了”本地不可见的黑盒进程”。IT部门连它用了什么模型、调了什么工具、访问了哪些数据都不知道。

一个Agent能做什么，远比你想的多

影子Agent的危险不在于它”可能做坏事”，而在于它被设计成”尽可能多做事”——工具链越丰富越有用。为了让Agent真正有用，开发者会主动给它开越来越多的权限。

读取代码仓库？权限给了。访问内部Wiki？权限给了。调用CI/CD Pipeline？权限给了。执行Shell命令？权限给了。读写数据库？权限给了——由于”不然它没法帮你调试”。

每一步单独看都合理。合在一起就是：一个无人审计的自主进程，拥有从代码到数据库到部署管线的完整访问权限，在不留任何审计痕迹的情况下，24小时运行。

如果这个Agent的推理链出了问题——列如它误判了一个异常的含义，做出了错误的降级决策——系统会在无声中偏离正确状态。等人类发现时，可能已经过去了几周，日志要么没有，要么已经被正常流量淹没。

这比”谁删了数据库”更难排查。由于Agent没有删掉任何东西。它只是做了一系列局部合理但全局错误的微调——改了某个配置项的默认值，调整了某个超时参数，关闭了某个看似多余的日志开关。这些改动单独放在Code Review里，没人会觉得有问题。

治理真空与”看不见的IT架构”

企业网D1Net在7月初发表了一篇深度分析，把影子智能体的治理问题拆解成四个层面：

身份认证真空。传统IT系统里，每个操作都有明确的主体——是哪个用户、用哪个服务账号、在哪个时间点。Agent没有身份。它在API层运行，用的是某个开发者的Token，但这个Token对应的”决策者”到底是人还是Agent，系统完全不知道。

权限边界真空。Agent能访问的资源取决于调用者的权限。如果开发者有数据库读写权限，Agent就能读写数据库。没有人问过”Agent是否应该有这个权限”，由于这个概念本身还没有被纳入IAM（身份与访问管理）的模型。

行为审计真空。Agent的每一次工具调用、每一次API请求，在日志系统里看起来都像是”开发者在操作”。没有元数据标注这是Agent的自主行为，而不是人的主动操作。当事故发生时，排查方向从一开始就错了——你会去找”哪个人的操作导致了问题”，而永远不会想到”哪个Agent在无人注意时做了那个操作”。

责任归属真空。如果Agent做出的决策导致了生产事故——谁负责？写Agent的人？部署Agent的人？批准Agent访问权限的人？还是Agent使用的底层模型提供商？法律框架还没有准备好回答这个问题，但事故已经在发生了。

谷歌Gemma 4给这场危机推了最关键的一把

2026年6月，谷歌发布Gemma 4 12B时，强调的是”本地化”和”离线可用”。对开发者来说，这意味着终于不用再把代码发给云端模型了。对安全团队来说，这意味着一个全新的噩梦：目前任何人都可以在自己的笔记本电脑上，用完全离线的方式跑一个功能完整的AI编程Agent。这个Agent不需要联网、不需要API Key、不产生任何外部审计记录。

Gemma 4不是第一个本地模型，但它是最明确面向企业级编程Agent场景优化的一个。谷歌甚至专门强调了它”在不依赖云端API的情况下处理文本、音频和视觉多模态任务”。

一条典型的企业内网攻击链已经清晰到不需要想象力了：员工下载Gemma 4 → 本地部署Agent → 接入公司内网API（由于他的个人Token有权限）→ Agent开始自主执行任务 → 某个操作引发级联故障 → 排查时发现所有操作都来自”合法用户”的”合法Token” → 唯一不对的是，这个用户当时在开会，根本没碰键盘。