影子 AI 进入第二阶段:未经批准的 Agent 正在获得本地执行权

过去提到影子 AI，我们脑海里通常是一幅熟悉的画面：

员工打开一个未经批准的公共 AI 网站，把会议纪要、客户资料或者源代码粘贴进去，让模型帮他总结、翻译或者写程序。

安全团队担心的是数据去了哪里，供应商会不会留存，以及企业是否还能履行隐私和合规责任。

这个问题并没有消失。

但影子 AI 正在进入第二阶段。

员工不再只是访问一个 AI 网站。他可能在自己的电脑上安装一个本地 Agent，给它打开项目目录，接入浏览器、邮件、GitHub、数据库和 MCP Server，再允许它执行脚本和命令。

过去，未经批准的 AI 主要是在“看”和“说”。

现在，它开始“读、写、装、改、发”。

风险也由“员工向哪个模型发送了数据”，升级为另一个更危险的问题：

本地管理员权限为什么成为了焦点

Gartner 最近出了一篇Impact Brief：Mitigate Shadow AI Risk Now by Eliminating Local Admin Access。

这篇报告的主张很直接：企业应移除终端用户长期持有的本地管理员权限，并通过权限提升与委派管理，也就是 PEDM，控制软件安装、程序执行和临时提权。

报告认为，本地管理员权限原本就会放大勒索软件、横向移动和恶意软件安装风险。到了 Agent 时代，它又为未经批准的 AI Agent 和工具包提供了绕过 IT 审批的便利。

据 Gartner 正文声称，近 60% 的组织已经发现或怀疑存在未经批准的 AI Agent 自动化；69% 的网络安全领导者发现员工在使用未经授权的公共 GenAI 工具；近三分之一在工作中使用 GenAI 的 IT 员工会隐瞒这一行为。虽然Gartner 文末也说明该材料属于研究机构观点，不应被理解为事实陈述。但是，它提出的风险机制值得重视。

当用户长期拥有本地管理员权限时，他下载的 Agent 安装包、脚本、插件和工具链更容易获得系统级能力。一次普通的软件试用，可能逐渐变成一条未经审批的自动执行链：

这类风险和员工打开一个 AI 网页完全不同。

网页型 AI 首先带来的是数据流出风险；本地 Agent 还可能取得终端和业务系统的操作能力。

微软的新动作说明市场已经变了

微软近期发布的产品文档，把这种变化说得更清楚。

Microsoft Defender for Endpoint 的本地 Agent 运行时防护文档明确写道：本地 AI Agent 以用户权限在终端上运行，可以读取文件、调用工具和执行命令。一次被注入的指令，就可能滥用 Agent 已有访问权，外传数据、修改代码或者运行有害命令。

微软因此开始在终端侧检查三个关键位置：进入 Agent 的内容、Agent 即将发出的工具调用，以及工具返回给 Agent 的结果。

Microsoft 365 管理中心也增加了 Shadow AI Agent 的发现与阻断能力，并通过 Intune 向受管 Windows 终端下发策略。

这说明影子 AI 已经不只是 CASB 或代理服务器里的一个“未批准网站类别”。

它正在成为一个横跨网络、浏览器、终端、身份和运行时的新攻击面。

如果安全团队仍然只统计员工访问了多少个 AI 域名，就会漏掉最重要的变化：同一个 Agent 在本地获得了什么权限，连接了哪些工具，又替谁执行了哪些动作。

取消本地管理员权限，很重要，但远远不够

Gartner 的建议容易被简化成一句口号：取消本地管理员权限，就能解决影子 AI。

这个结论并不成立。

本地管理员权限治理能有效收紧一类风险：需要安装、修改系统配置或以高权限运行的 Agent、工具包和依赖。NIST SP 800-53 的 AC-6 控制也长期要求限制特权账户、使用非特权身份完成普通工作，并对特权使用进行审计。

微软的 Endpoint Privilege Management 提供了一个相对务实的路径：员工平时作为标准用户运行；真正需要提权的单个程序或任务，依据规则、审批和时间窗口获得临时权限。App Control 则进一步决定哪些程序即使不提权也可以运行。

这比让开发者、运维人员和普通员工永久拥有本地管理员权限更合理。

但它挡不住所有影子 AI：

所以，本地管理员权限不是影子 AI 的根因，也不是唯一控制点。

它更像一道重要的“执行闸门”：可以减少未经批准的工具获得高权限，但不能替代 AI 资产发现、数据控制、Agent 身份、任务授权和运行时治理。

影子 AI 2.0，危险的不只是工具，而是授权组合

传统影子 IT 的治理对象通常是一个应用：这是什么软件，谁采购的，处理什么数据，能不能使用。

Agent 时代，只问“这是什么工具”已经不够。

同一个 Agent，在不同授权组合下，风险可能完全不同。

一个只能读取公开文档、不能联网的写作 Agent，和一个可以读取客户目录、调用邮件、执行 Shell、提交代码的 Agent，不能使用同一套风险标签。

真正需要管理的是五种权力：

而是这些权力在没有统一登记、审批和监测的情况下，被组合到一个可以自主行动的软件实体上。

企业需要五层控制，而不是一刀切封禁

如果员工使用影子 AI 是为了绕过低效流程，单纯封禁只会把使用方式变得更隐蔽。

企业需要的不是“全部允许”与“全部禁止”之间的二选一，而是让不同风险的 AI 获得不同程度的能力。

第一层：跨网络、浏览器、终端和云端发现

企业首先要承认，没有任何一个控制面能够看到全部影子 AI。

网络与 CASB 能发现公共 AI 服务和部分 API 流量；浏览器控制能看到页面、扩展和数据交互；终端能够发现本地 Agent、进程、插件和软件安装；身份平台能看到 OAuth 授权、服务主体和异常令牌；代码与云平台则能发现 SDK、容器、自动化工作流和自建 Agent。

这些信号需要汇总成一张 AI 资产图，而不是散落在五个产品控制台里。

优先识别的不应是“最流行的 AI 工具”，而是拥有敏感数据、代码执行、外部连接和写操作能力的未知 Agent。

第二层：把永久管理员权限改成按任务提权

员工日常使用标准用户身份，真正需要安装或运行高权限程序时，通过 PEDM 按文件、证书、发布者、命令、用户组和有效时间决定是否提升。

同时配合应用执行控制，阻止明确禁止或来源不可信的软件，而不是默认允许所有程序，只在出现恶意行为后交给 EDR 处理。

开发者和“超级用户”不能简单套用普通员工策略。企业应先观察真实提权行为，再按照工作角色设计规则、试点和快速审批，避免安全控制把正常工作逼回影子流程。

第三层：给 Agent 独立身份，不要直接继承人的全部权限

NIST NCCoE 在 2026 年发布的 Agent 身份与授权概念文件，专门提出了一个关键问题：如何为 Agent 建立最小权限，尤其是在它需要代表人行动、访问多个系统并动态完成任务时。

企业应让每个正式 Agent 有唯一身份、Owner、用途、数据范围和工具清单。Agent 代表员工执行任务时，应获得面向任务、资源和时间窗口的授权，而不是复制员工的长期令牌。

一次“整理邮件”的委托，不应自动获得删除邮件、下载全部附件和向外部联系人发送内容的权限。

第四层：在运行时检查工具调用和结果

批准一个 Agent 上线，并不等于永久相信它。

OWASP 的 AI Agent 安全指南强调，应对 Agent 的每个工具和权限实施最小权限，避免通配符授权，并对高影响动作增加人工确认。

运行时至少要记录：谁发起任务、Agent 使用了什么身份、读取了哪些数据、调用了哪些工具、是否发生提权、结果写到哪里，以及人工是否确认。

对外发数据、执行命令、修改生产环境、提交代码和金融交易等高风险动作，应设置策略拦截、沙箱、审批或可立即停止的机制。

第五层：让可信工具比影子工具更容易使用

Gartner 报告有一个容易被忽略的部分：员工绕过安全要求，往往不是因为恶意，而是因为正式工具和流程无法完成业务目标。

企业需要提供经过评估的 AI 工具目录、明确的数据使用边界、开发者沙箱、经过签名的 Agent Skill，以及足够快的临时提权和新工具评估流程。

安全团队的目标不是让员工每次创新都先写一份长问卷，而是把大多数低风险需求放进预先设计好的安全路径，把精力留给真正拥有高影响权限的 Agent。

一个可执行的 60 天起点

这项工作不必从全公司“清零本地管理员”开始。

前 30 天，可以先选择开发、数据分析和运维三个高使用群体，联合终端、网络、身份和 SaaS 日志，回答四个问题：

接下来的 30 天，选择一个群体开展标准用户迁移和 PEDM 试点；为高风险本地 Agent 建立应用执行规则；登记 Agent 身份和 Owner；对外发数据、命令执行和代码提交接入运行时日志与审批。

衡量成效时，不要只看“移除了多少管理员账户”。更值得关注的是：

结语

影子 AI 的第一阶段，是员工在企业看不见的地方与模型对话。

第二阶段，是未经登记的 Agent 开始在企业终端和业务系统里行动。

取消长期本地管理员权限，是一个应该推进的基础动作。它能够减少未经批准的软件获得系统级能力，也能同时降低勒索软件、恶意软件和权限滥用风险。

但它不是影子 AI 治理的终点。

当 Agent 可以在普通用户权限下读取文件、调用工具、连接 SaaS 和代表员工行动，企业需要治理的已经不是一个软件安装权限，而是一整条授权与执行链。

未来安全团队判断一个 AI 工具能不能使用，不能只问：

“它是不是公司批准的？”

还要继续问：

“它代表谁，能看什么，能做什么，什么时候必须停下来等人确认？”

影子 AI 真正危险的，不是它没有出现在采购清单里。

参考资料

数智安全 · 欧克莱