員工用 AI 工具做事，可能只需幾秒；公司要知道員工用了甚麼、輸入了甚麼資料，再判斷是否合規，往往要花更多時間。新加坡的調查結果顯示，企業的挑戰不只是有沒有 AI 政策，而是能否掌握實際使用情況，並把規則落實到日常工作和軟件開發流程之中。356

有政策，不代表捉得到違規使用

「影子 AI」泛指員工在工作上使用、但未經公司批准或監督的 AI 工具。員工可能只是想快些完成工作；但若 IT 或保安團隊不知道工具正在使用，也就難以掌握資料去了哪裏、是否涉及敏感內容。14

JFrog 的研究指出，18% 新加坡受訪機構有禁止未經批准 AI 工具的政策，卻沒有機制偵測違規使用。3 這正好說明，寫下「不准用」和實際上能否發現、處理未經批准的使用，是兩回事。

軟件開發愈快，審核壓力愈大

現代應用程式不再只是公司內部編寫的程式碼。它亦可能由開源套件、雲端服務、AI 生成程式碼、模型及第三方工具組合而成；每個部分都可能需要追蹤和評估。5

JFrog 調查顯示，60% 新加坡 DevSecOps 受訪者認為，治理和執行政策是工作中最耗時間的一環；另有 41% 認為審核 AI 生成程式碼相當耗用資源。5 這些數字反映受訪業界人士面對的工作壓力，並不代表每間公司都有相同程度的風險。

審核挑戰亦延伸至合規準備。另一份報道引述 JFrog 新加坡研究指，54% 受訪者需要至少一星期，才能為單一應用程式整理出合規證明。7 知道某個應用程式由誰負責，並不等於能迅速交代它包含甚麼元件、是否符合要求。

風險不止是程式碼出錯

若未經批准的 AI 工具不在公司保安監督之內，員工可能在使用時輸入敏感資料，例如源碼或客戶資料，令資料離開公司的控制範圍。2324

AI 生成的程式碼及其他輸出亦需要在投入使用前審核。新加坡的調查指出，審核 AI 生成程式碼會消耗不少資源；不過，現有資料並無量化錯誤有多常流入客戶服務或關鍵系統。5

單靠封鎖工具，未必能解決「看不見」的問題：如果員工仍然使用公司無法偵測的工具，禁令本身不會帶來監察能力。調查所揭示的落差，重點是企業要能發現 AI 使用情況，並在實際工作中執行規則，而不只是列出禁令。3

管理範圍要由源碼擴展至整條供應鏈

JFrog 亞太區高級副總裁 Sunny Rao 指出，現代應用程式由內部程式碼、開源套件、雲端服務、AI 生成程式碼、模型及第三方工具共同構成。換言之，保安工作不能只盯着源碼，亦要留意各類元件如何進入和影響應用程式。5

Splunk 的 Christine Low 則提到，企業希望擴大 AI 應用，同時要面對合規要求、資料管治責任，以及持續變動帶來的營運負擔。4 兩者的觀點都指向同一個方向：AI 管治不只是開發人員審核程式碼的問題，也涉及資料和依賴元件的管理，以及系統變動時如何維持監督。

企業可以由哪裏着手？

要縮窄政策與實際執行之間的距離，企業可考慮把資產盤點、規則執行和審核流程接在一起：

• 追蹤應用程式的所有元件。 除了內部程式碼，亦要把 AI 模型、套件和其他軟件元件納入管理。58
• 令政策可以被偵測和執行。 18% 的調查結果反映，規則需要配合識別未經批准工具使用的機制。3
• 縮短整理合規證明所需時間。 既然部分受訪者要至少一星期才能為單一應用程式準備證明，企業便需要更容易查閱的元件資料和管治紀錄，而不只是清楚誰負責該應用程式。7
• 把 AI 輸出納入日常軟件保安審核。 AI 生成程式碼不應因為產生得快，就被假設可以更快安全地推出；它同樣需要評估。5

JFrog 提出的做法，是透過共用的記錄系統管理模型、套件、外掛程式及 AI 生成的軟件元件。8 無論企業採用甚麼工具，關鍵都是把「看得見」連接到「管得到」，並將監督範圍延伸至整條軟件和 AI 供應鏈。

員工用 AI 工具做事，可能只需幾秒；公司要知道員工用了甚麼、輸入了甚麼資料，再判斷是否合規，往往要花更多時間。新加坡的調查結果顯示，企業的挑戰不只是有沒有 AI 政策，而是能否掌握實際使用情況，並把規則落實到日常工作和軟件開發流程之中。356

有政策，不代表捉得到違規使用

「影子 AI」泛指員工在工作上使用、但未經公司批准或監督的 AI 工具。員工可能只是想快些完成工作；但若 IT 或保安團隊不知道工具正在使用，也就難以掌握資料去了哪裏、是否涉及敏感內容。14

JFrog 的研究指出，18% 新加坡受訪機構有禁止未經批准 AI 工具的政策，卻沒有機制偵測違規使用。3 這正好說明，寫下「不准用」和實際上能否發現、處理未經批准的使用，是兩回事。

軟件開發愈快，審核壓力愈大

現代應用程式不再只是公司內部編寫的程式碼。它亦可能由開源套件、雲端服務、AI 生成程式碼、模型及第三方工具組合而成；每個部分都可能需要追蹤和評估。5

JFrog 調查顯示，60% 新加坡 DevSecOps 受訪者認為，治理和執行政策是工作中最耗時間的一環；另有 41% 認為審核 AI 生成程式碼相當耗用資源。5 這些數字反映受訪業界人士面對的工作壓力，並不代表每間公司都有相同程度的風險。

審核挑戰亦延伸至合規準備。另一份報道引述 JFrog 新加坡研究指，54% 受訪者需要至少一星期，才能為單一應用程式整理出合規證明。7 知道某個應用程式由誰負責，並不等於能迅速交代它包含甚麼元件、是否符合要求。

風險不止是程式碼出錯

若未經批准的 AI 工具不在公司保安監督之內，員工可能在使用時輸入敏感資料，例如源碼或客戶資料，令資料離開公司的控制範圍。2324

AI 生成的程式碼及其他輸出亦需要在投入使用前審核。新加坡的調查指出，審核 AI 生成程式碼會消耗不少資源；不過，現有資料並無量化錯誤有多常流入客戶服務或關鍵系統。5

單靠封鎖工具，未必能解決「看不見」的問題：如果員工仍然使用公司無法偵測的工具，禁令本身不會帶來監察能力。調查所揭示的落差，重點是企業要能發現 AI 使用情況，並在實際工作中執行規則，而不只是列出禁令。3

管理範圍要由源碼擴展至整條供應鏈

JFrog 亞太區高級副總裁 Sunny Rao 指出，現代應用程式由內部程式碼、開源套件、雲端服務、AI 生成程式碼、模型及第三方工具共同構成。換言之，保安工作不能只盯着源碼，亦要留意各類元件如何進入和影響應用程式。5

Splunk 的 Christine Low 則提到，企業希望擴大 AI 應用，同時要面對合規要求、資料管治責任，以及持續變動帶來的營運負擔。4 兩者的觀點都指向同一個方向：AI 管治不只是開發人員審核程式碼的問題，也涉及資料和依賴元件的管理，以及系統變動時如何維持監督。

企業可以由哪裏着手？

要縮窄政策與實際執行之間的距離，企業可考慮把資產盤點、規則執行和審核流程接在一起：

• 追蹤應用程式的所有元件。 除了內部程式碼，亦要把 AI 模型、套件和其他軟件元件納入管理。58
• 令政策可以被偵測和執行。 18% 的調查結果反映，規則需要配合識別未經批准工具使用的機制。3
• 縮短整理合規證明所需時間。 既然部分受訪者要至少一星期才能為單一應用程式準備證明，企業便需要更容易查閱的元件資料和管治紀錄，而不只是清楚誰負責該應用程式。7
• 把 AI 輸出納入日常軟件保安審核。 AI 生成程式碼不應因為產生得快，就被假設可以更快安全地推出；它同樣需要評估。5

JFrog 提出的做法，是透過共用的記錄系統管理模型、套件、外掛程式及 AI 生成的軟件元件。8 無論企業採用甚麼工具，關鍵都是把「看得見」連接到「管得到」，並將監督範圍延伸至整條軟件和 AI 供應鏈。