← 返回洞察Okta调查：影子AI正超越治理
2026 年 8 月 · 7 分钟阅读
Okta调查：影子AI正超越治理
——高管信心与现实的巨大落差
关键定义
影子AI（Shadow AI） 员工未经IT或安全团队批准、常通过个人账户使用的AI工具与AI Agent。由于不受企业管控，它们会绕过既有的安全与治理边界，构成数据泄露和合规风险。
非人类身份（Non-Human Identity） AI Agent、服务账户等以软件形式存在、能够认证并自主执行动作的身份实体。它们需要独立的身份生命周期与最小权限管理，而非沿用人类身份的控制策略。
软件曾经是确定性的、可预测的。如今，任何人都能启动一个AI Agent，Agent还能再派生出Agent，每个都连接着应用、API、SaaS工具和数据系统。结果是成千上万个以机器速度运转的"黑箱"实体——常常拥有特权访问，又经常游离于人类为中心的安全控制之外。Okta 2026调查揭示了一个关键事实：高管的信心与员工的实际行为之间存在危险的断层。
一、调查方法与核心数字
Okta委托Apprize360开展在线双盲调查，招募292名高管和492名知识工作者。高管聚焦于对IT、安全、数据、工程有决策权的CEO、CIO、CTO和副总裁，其中91%负责或领导AI实施、治理、安全或战略团队；知识工作者覆盖技术、销售、客服、市场、通信、业务运营和会计角色，100%在调查前三个月内使用过AI。受访者分布在美国（23%）、英国（22%）、澳大利亚（12%）、加拿大（12%）、日本（11%）、法国（10%）和德国（10%），调查于2026年3月进行。
调查呈现出一组令人不安的数字：92%的高管表示自主AI Agent已在组织内广泛（58%）或中度（35%）使用；近三分之二（64%）的知识工作者每天至少使用一次AI工具；68%的工人使用AI Agent，62%使用LLM/聊天机器人。
二、高管过度自信，影子AI泛滥
90%的高管对组织对AI工具的可见性有信心，95%确信员工在负责任地使用AI。然而，52%的员工承认使用未经批准的AI工具，常常通过个人账户。这是治理最讽刺的断层：高管相信一切尽在掌握，而员工已经在企业管控之外大规模使用AI。
更关键的是，这种信心是错位的。在使用未经批准AI工具的员工中，54%分享过内部消息和邮件，45%分享过HR相关信息，39%分享过机密公司文档（含财务与合同）。超过20%还分享了登录凭证和密码，28%分享了银行和支付信息。数据已经从"效率工具"滑向"身份与资金风险"。
三、治理空白已转化为现实事件
治理的空白已经产生了真实后果：58%的高管报告其组织在过去12个月内经历过AI相关安全事件或险情。超过一半的企业已经实际承担了影子AI与治理缺失的代价——不是潜在的，而是已经发生的。
政策清晰度同样存在巨大落差：65%的高管认为AI使用政策"非常清晰"，但超过一半（57%）的知识工作者不同意，认为政策不清晰、难以找到或根本不存在。高管与一线员工对同一套政策存在几乎相反的理解，这直接解释了为什么政策无法转化为员工的合规行为。
四、身份控制的"双重标准"
只有34%的组织对它们的智能体劳动力施加与人类劳动力相同的安全控制。这意味着近三分之二的企业允许AI Agent在比人类员工更宽松的控制下运行——这制造了危险的"双重标准"，也是AI Agent成为特权内部人攻击面的结构性原因。
Okta指出，构建安全的智能体企业需要回答三个问题：我的Agent在哪里？它们能连接到什么？它们能做什么？这三个问题构成了可见性、访问控制和问责的治理基石，也是弥合信心与现实落差的第一步。
五、企业行动路径
Okta给出四点建议。第一，先建立治理策略，不要等危机出现——多数高管已报告AI相关事件，观望只会让成本更高。第二，让安全路径成为最易用路径——员工选择未经批准工具是因为它们更快更易用，更严的政策不会解决问题，只会被忽视，应通过标准协议（如跨应用访问）移除受批准工具的使用摩擦。第三，定义并落地AI治理策略，用于规模化。第四，把每个AI Agent当作一等公民身份，拥有独立的身份生命周期和最小权限。
参考来源：
常见问题
Okta 2026调查的核心发现是什么？+
调查由Okta委托Apprize360开展，覆盖292名高管和492名知识工作者，分布在七个国家。核心发现是：90%高管对组织对AI工具的可见性有信心，95%确信员工在负责任地使用AI——但52%的员工承认使用未经批准的AI工具，且常通过个人账户。58%的企业报告过去一年发生过AI相关安全事件或险情。治理的空白已经转化为现实后果。
员工在用未经批准的AI工具时分享了哪些敏感信息？+
在使用未经批准AI工具的员工中，54%分享过内部消息和邮件，45%分享过HR相关信息，39%分享过机密公司文档（含财务与合同）。超过20%还分享了登录凭证和密码，28%分享了银行和支付信息。这远超一般认知中的数据泄露范围——它已触及身份与资金层面的直接风险。
AI政策清晰度存在多大落差？+
65%的高管认为组织的AI使用政策非常清晰，但超过一半（57%）的知识工作者不同意——他们认为政策不清晰、难以找到或根本不存在。高管与一线员工对同一套政策存在几乎相反的理解，这正是治理无法落地的重要原因。
企业对AI Agent的安全控制是否与人一致？+
只有34%的组织对它们的智能体劳动力（agentic labor force）施加与人类劳动力相同的安全控制。近三分之二（约66%）的企业对AI Agent施加的安全控制弱于人类员工——这制造了危险的'双重标准'，也是AI Agent成为特权内部人攻击面的原因。
企业应如何缩小这一治理落差？+
Okta给出四点建议：先建立治理策略而非等危机出现；把安全路径变成最易用路径（移除受批准工具的使用摩擦）；定义AI治理策略并用于规模化；把每个AI Agent当作一等公民身份，拥有独立生命周期和最小权限。可借助Agent身份治理方案来管理AI Agent。