員工使用 AI 工具的速度，可能快過企業辨識工具、審查生成內容與執行內部規範的能力。新加坡的調查結果顯示，企業面臨的落差不只是「有沒有訂政策」，還包括能否在員工與開發團隊日常使用的軟體和 AI 元件中，真正落實治理。 356

有規則，不代表管得到

「影子 AI」指員工在工作中使用未經組織核准或監督的 AI 工具。員工可能是為了更快完成任務而自行採用工具，但資安與 IT 團隊未必掌握哪些工具正在使用，也不一定知道有哪些資料被輸入其中。 14

因此，政策文件本身不足以證明員工遵守規範，也不代表企業有辦法發現未經授權的使用。JFrog 調查指出，18% 的新加坡組織雖有禁止未經授權 AI 工具的政策，卻缺乏偵測違規的機制。 3

軟體交付愈快，審查壓力也愈大

現代應用程式不只由企業自行撰寫的原始碼組成，也可能包含開源套件、雲端服務、AI 生成程式碼、模型與第三方工具。每一種元件都可能需要追蹤與評估。 5

JFrog 的調查反映了隨之而來的工作負擔：60% 的新加坡 DevSecOps 利害關係人表示，治理與政策落實是最耗時的工作；41% 則認為審查 AI 生成程式碼相當耗費資源。這些數字反映受訪者回報的壓力，並不代表所有企業面臨相同程度的風險。 5

另一份報導也指出，合規稽核準備可能耗時：據報有 54% 的受訪者至少需要一週，才能為單一應用程式準備合規證明。這提醒企業，知道某個應用程式由誰負責，和能迅速列出其組成元件及合規狀態，是兩回事。 7

風險不只在程式碼審查

未經核准的 AI 工具若不在資安監督範圍內，員工可能在使用過程中輸入敏感資訊，例如原始碼或客戶資料。資安指引也將敏感資料流出組織控制範圍，列為影子 AI 的風險之一。 2324

AI 生成的程式碼與其他產出，在投入使用前也需要審查。新加坡調查指出，審查 AI 生成程式碼可能消耗大量資源；但目前提供的資料，並未量化錯誤實際進入客戶端或關鍵系統的頻率。 5

若員工持續使用企業無法偵測的工具，單靠禁止並不能補上可視性缺口。18% 的調查結果凸顯了實務上的要點：企業需要能發現 AI 使用情況、並在日常作業中執行規範的機制，而不只是列出哪些行為不被允許。 3

從軟體供應鏈看整體治理

JFrog 的 Sunny Rao 指出，現代應用程式是由企業內部程式碼、開源套件、雲端服務、AI 生成程式碼、模型及第三方工具等組合而成。這種觀點將資安管理的範圍，從原始碼延伸到所有可能進入並影響應用程式的元件。 5

Splunk 的 Christine Low 則談到另一個相關課題：想擴大 AI 應用的組織，還要面對合規要求、資料治理需求，以及環境持續變動帶來的營運負擔。 4 兩者的觀點都顯示，AI 監督不只是開發者審查程式碼，也牽涉如何管理資料與依賴元件，並因應系統變化。

企業可以從哪些地方著手

務實的做法，是把「看得見」與「管得到」連在一起：

• 追蹤應用程式中的各項元件。 除了內部撰寫的程式碼，也應納入 AI 模型、套件與其他軟體產物。 58
• 讓政策可被發現，也能落實。 18% 的調查結果說明，規則須搭配辨識未經授權工具使用的機制。 3
• 縮短準備合規證明的時間。 據報的稽核準備延誤顯示，僅有應用程式負責人名單可能不夠；團隊也需要容易取得應用程式元件與治理狀態等資訊。 7
• 將 AI 產出納入一般軟體資安流程。 既然審查 AI 生成程式碼會帶來工作負擔，就應把它視為需要評估的軟體元件，而非假設生成得快就代表能更快安全上線。 5

JFrog 提出的做法，是透過共用的紀錄系統治理模型、套件、外掛程式與 AI 生成產物。 8 無論企業選擇哪種工具，核心原則都是相同的：讓組織掌握的資訊，能連結到實際可執行的管控措施，並涵蓋整條軟體與 AI 供應鏈。

員工使用 AI 工具的速度，可能快過企業辨識工具、審查生成內容與執行內部規範的能力。新加坡的調查結果顯示，企業面臨的落差不只是「有沒有訂政策」，還包括能否在員工與開發團隊日常使用的軟體和 AI 元件中，真正落實治理。 356

有規則，不代表管得到

「影子 AI」指員工在工作中使用未經組織核准或監督的 AI 工具。員工可能是為了更快完成任務而自行採用工具，但資安與 IT 團隊未必掌握哪些工具正在使用，也不一定知道有哪些資料被輸入其中。 14

因此，政策文件本身不足以證明員工遵守規範，也不代表企業有辦法發現未經授權的使用。JFrog 調查指出，18% 的新加坡組織雖有禁止未經授權 AI 工具的政策，卻缺乏偵測違規的機制。 3

軟體交付愈快，審查壓力也愈大

現代應用程式不只由企業自行撰寫的原始碼組成，也可能包含開源套件、雲端服務、AI 生成程式碼、模型與第三方工具。每一種元件都可能需要追蹤與評估。 5

JFrog 的調查反映了隨之而來的工作負擔：60% 的新加坡 DevSecOps 利害關係人表示，治理與政策落實是最耗時的工作；41% 則認為審查 AI 生成程式碼相當耗費資源。這些數字反映受訪者回報的壓力，並不代表所有企業面臨相同程度的風險。 5

另一份報導也指出，合規稽核準備可能耗時：據報有 54% 的受訪者至少需要一週，才能為單一應用程式準備合規證明。這提醒企業，知道某個應用程式由誰負責，和能迅速列出其組成元件及合規狀態，是兩回事。 7

風險不只在程式碼審查

未經核准的 AI 工具若不在資安監督範圍內，員工可能在使用過程中輸入敏感資訊，例如原始碼或客戶資料。資安指引也將敏感資料流出組織控制範圍，列為影子 AI 的風險之一。 2324

AI 生成的程式碼與其他產出，在投入使用前也需要審查。新加坡調查指出，審查 AI 生成程式碼可能消耗大量資源；但目前提供的資料，並未量化錯誤實際進入客戶端或關鍵系統的頻率。 5

若員工持續使用企業無法偵測的工具，單靠禁止並不能補上可視性缺口。18% 的調查結果凸顯了實務上的要點：企業需要能發現 AI 使用情況、並在日常作業中執行規範的機制，而不只是列出哪些行為不被允許。 3

從軟體供應鏈看整體治理

JFrog 的 Sunny Rao 指出，現代應用程式是由企業內部程式碼、開源套件、雲端服務、AI 生成程式碼、模型及第三方工具等組合而成。這種觀點將資安管理的範圍，從原始碼延伸到所有可能進入並影響應用程式的元件。 5

Splunk 的 Christine Low 則談到另一個相關課題：想擴大 AI 應用的組織，還要面對合規要求、資料治理需求，以及環境持續變動帶來的營運負擔。 4 兩者的觀點都顯示，AI 監督不只是開發者審查程式碼，也牽涉如何管理資料與依賴元件，並因應系統變化。

企業可以從哪些地方著手

務實的做法，是把「看得見」與「管得到」連在一起：

• 追蹤應用程式中的各項元件。 除了內部撰寫的程式碼，也應納入 AI 模型、套件與其他軟體產物。 58
• 讓政策可被發現，也能落實。 18% 的調查結果說明，規則須搭配辨識未經授權工具使用的機制。 3
• 縮短準備合規證明的時間。 據報的稽核準備延誤顯示，僅有應用程式負責人名單可能不夠；團隊也需要容易取得應用程式元件與治理狀態等資訊。 7
• 將 AI 產出納入一般軟體資安流程。 既然審查 AI 生成程式碼會帶來工作負擔，就應把它視為需要評估的軟體元件，而非假設生成得快就代表能更快安全上線。 5

JFrog 提出的做法，是透過共用的紀錄系統治理模型、套件、外掛程式與 AI 生成產物。 8 無論企業選擇哪種工具，核心原則都是相同的：讓組織掌握的資訊，能連結到實際可執行的管控措施，並涵蓋整條軟體與 AI 供應鏈。