JFrog推出Shadow AI检测功能：应对企业软件供应链中的AI安全风险

近日，JFrog宣布为其软件供应链平台扩充了一项名为“Shadow AI Detection”（影子AI检测）的新功能。该功能旨在帮助企业发现并管控那些在开发流水线中悄然使用、未经组织批准的AI模型和API调用，以应对由此引发的日益严峻的安全、合规和风险暴露问题。

所谓“影子AI”，通常指由开发团队在非正式渠道引入、缺乏组织监管的AI集成。随着AI技术被快速嵌入应用与工作流，此类不受管理的AI使用行为可能导致安全漏洞、数据泄露，并带来供应链风险。为了应对这一挑战，云原生和Iaas技术 领域的厂商正在提供更全面的治理工具。

这项新功能能够自动扫描并盘点企业内部使用的所有AI模型和外部API网关，包括来自OpenAI、Anthropic等第三方服务商但未经批准的工具。随后，企业可在此基础上实施集中化治理，强制执行安全与合规策略、定义授权访问路径、追踪使用情况并维护完整的审计追踪记录。

JFrog机器学习副总裁兼首席技术官Yuval Fernbach在新闻稿中表示，此举是为了应对AI采用过程中日益增长的盲点。他认为，影子AI检测功能“从360度全方位巩固了JFrog在保障AI供应链安全领域的领导地位，帮助企业安全、负责任地利用AI”。

通过这一功能，JFrog将其平台定位为企业软件与AI供应链的单一记录系统。启用该功能的企业将能更好地遵守全球AI相关法规，例如即将出台的欧盟《人工智能法案》、美国不断演变的前沿AI透明度规则，以及NIS2等网络安全框架下的新兴指导方针。

JFrog并非唯一探索此领域的厂商。ModelOp Center将自己定位为“AI控制塔”，为组织内所有AI（内部模型、第三方供应商模型、生成式AI解决方案等）提供生命周期管理和治理。它支持新AI用例的注册、风险评估、策略执行、审计追踪和持续监控。与专注于模型训练、部署或数据流水线的典型MLOps或数据平台不同，ModelOp明确以治理、合规和企业级监管为目标。

另一家专注于安全的平台Aurva则为AI/ML系统（包括智能体工作负载和基于API的AI模型调用）提供实时监控和可观测性。据供应商称，其AIOStack能提供“深入内核级的可见性和控制”，帮助检测未经授权的数据访问、潜在的数据泄露和AI智能体的可疑行为。Aurva将自己定位为“影子AI可视化”工具，使组织能够发现其环境中不受管理或未经批准的AI使用，这与JFrog的目标类似。

在人工智能治理 和模型全生命周期管理的实践中，此类工具正变得愈发重要。影子AI检测功能将作为现有JFrog AI目录的一部分推出，预计于2025年全面上市。