是怎樣浮出檯面？

前情提要大概是這樣的。

某天 K 地區的管理者收到一張申請單，主訴是有個工具連不上不能用，要申請開放。

一路送到主管後，主管請我確認一下。我看了一下網址，是一個 xxxx.github.io 的頁面，點進去後看到裡面包了不少便利小工具，介面還做得不錯。

問了一下，申請人說這東西在 L 地區同性質單位已經用了一陣子，是好心人用 AI 弄出來的。用過的人說工具確實能加快業務處理，而且其他地區可以用，所以他們想在 K 地區也能用。

示意圖，非真實資料

但深入看了一下那個前端頁面，雖然主要是簡單的計算功能，卻也有幾個可以上傳個資或機敏資料的地方。

經過主管審查後，因為目前企業內部及相關部門並沒有同意開放這類服務，就拒絕了。同時也請各地區檢查一下，是不是上網政策沒設定好、有遺漏。

這就是我們發現 Shadow AI/IT 的方式：不是掃描出來的，不是告警跳出來的，是使用者自己來申請的時候自己投案的。

那可是……反過來思考，沒來申請的，到底還有多少類似工具已經在企業內部流竄？

這只是一個單純的前端網頁，為什麼不能用？

好心人的想法很單純：我在業務上遇到了困難，現在有 AI，我透過 AI 開發出一個網頁來協助我的工作。別人也有這困擾，所以我分享給別人。算個東西或整理文字，又沒裝什麼程式，哪裡有問題？

不說一般非資訊人員的想法，我自己前陣子的想法也很單純：當自己有些需求，手邊沒有適合的工具又不敢亂裝軟體，就用 Vibe Coding 產出小工具讓自己或好朋友使用。

所以我很清楚好心人的心情。

需求就在眼前，就像今天肚子餓了，出去吃要花錢，買到的又不一定是想吃的。想吃好一點的，要嘛價格很高；要嘛一份套餐端上來，我只想吃裡面的肉和某幾樣配菜，但一堆不想吃的也得一起買單。

以前這些人可能不會煮飯，或煮出來的東西不是臭火焦就是沒熟，只能忍著吃外面的。又或者我知道怎麼煮，可是很花時間、花精力，要自己準備食材，煮完還要洗碗收拾。

但這個時代不一樣了，AI 就像是你自己聘雇的大廚或幫傭，我說想吃什麼，它就幫我做出來。又快又貼近需求，雇一個很便宜，想要的話還可以同時雇兩三個，做出來就能吃，為什麼不做？甚至到處都有人在介紹哪個大廚比較好、要怎麼使喚。

但這種大廚你在家用，做出來給自己吃、給家人吃，沒什麼問題。

煮飯會出什麼事？瓦斯沒關、油鍋起火、食材不新鮮吃壞肚子、廚房弄得一團亂沒人收。在自己家裡，這些都是自己承擔：火燒的是自己的廚房，拉肚子的是自己。

但在企業裡呢？你在茶水間開火，燒起來燒的是整層樓；你端出去的菜讓隔壁單位吃壞肚子，出事的是公司；你煮完不收，收拾的是別人。而且沒人知道你什麼時候開的火、用的什麼食材、端給了誰。

企業允許你到處開火煮飯，煮完端給隔壁單位吃嗎？

所以我開始在思考

我自己做的那些小工具，嚴格來說不也是 Shadow AI/IT？

差別只在於我是資訊人員。可是難道我是資訊人員，就可以略過相關規定嗎？

即使我知道這些小工具純本機跑、沒有留存任何上傳的東西、GitHub 有做安全設定、只給認識的人用，出事我知道是自己負責。這些是我的專業，所以我知道要注意什麼。但知道要注意什麼，不等於我有資格自己決定可以做。

那非資訊專業的人呢？不該要求他知道這些，這不是他的專業。更何況 GitHub 和各種免費架站空間的資安事件本來就層出不窮，連專業的都不一定守得住。

在企業裡，這些東西就像雨後春筍不斷冒出來，擋了一個還有十個。更麻煩的是，一旦有人能用、有人不能用，就變成「他可以，為什麼我不行」，紛爭沒完沒了。

所以開始換個資安技術跟治理的角度來看這件事情.....