2024年3月到6月，斯坦福大學(xué)的AI顧問(wèn)委員會(huì)開(kāi)了7場(chǎng)會(huì)。他們翻遍了康奈爾、密歇根、哈佛、耶魯、普林斯頓的報(bào)告，想找一份企業(yè)AI治理的路線(xiàn)圖。結(jié)論是：沒(méi)人知道該怎么干。

這不是學(xué)術(shù)機(jī)構(gòu)的困境。MIT的最新研究給了一個(gè)更扎眼的數(shù)字——95%的企業(yè)生成式AI項(xiàng)目達(dá)不到預(yù)期。不是模型不夠聰明，是組織還沒(méi)準(zhǔn)備好。

「Gemini三連擊」：當(dāng)安全漏洞成為常態(tài)

2025年初，研究人員公開(kāi)了Google Gemini AI套件的一組漏洞，代號(hào)「Gemini Trifecta」。攻擊者能通過(guò)這些漏洞獲取敏感用戶(hù)數(shù)據(jù)和云資產(chǎn)。幾乎同時(shí)，Perplexity的Comet AI瀏覽器被爆出間接提示注入漏洞——用戶(hù)打開(kāi)一個(gè)看似正常的網(wǎng)頁(yè)，后臺(tái)就能竊取郵箱和銀行憑證。

大語(yǔ)言模型的核心問(wèn)題從未改變：它分不清合法指令和惡意提示。精心構(gòu)造的輸入可以讓模型泄露敏感數(shù)據(jù)、執(zhí)行未授權(quán)操作，或者生成違反合規(guī)政策的內(nèi)容。研究顯示，高達(dá)10%的生成式AI提示包含敏感企業(yè)數(shù)據(jù)，但大多數(shù)安全團(tuán)隊(duì)根本看不到誰(shuí)在用什么模型、訪(fǎng)問(wèn)了什么數(shù)據(jù)、輸出是否符合監(jiān)管要求。

問(wèn)責(zé)制是第一步崩壞的地方。當(dāng)LLM生成錯(cuò)誤信息、泄露學(xué)生隱私，或者產(chǎn)出違反反歧視法的偏見(jiàn)結(jié)果時(shí)，誰(shuí)負(fù)責(zé)？這個(gè)問(wèn)題在董事會(huì)、法務(wù)部、IT部門(mén)之間踢了兩年皮球，至今沒(méi)有標(biāo)準(zhǔn)答案。

基礎(chǔ)設(shè)施的隱形債務(wù)

企業(yè)AI的失敗很少是技術(shù)本身的問(wèn)題。傳統(tǒng)軟件架構(gòu)是為確定性任務(wù)設(shè)計(jì)的——輸入A，輸出B，可預(yù)測(cè)、可審計(jì)。但推理工作負(fù)載（inference workloads）完全不同：資源需求波動(dòng)劇烈，延遲要求苛刻，成本模型基于token消耗而非固定算力。

大多數(shù)企業(yè)的云基礎(chǔ)設(shè)施是為上一代應(yīng)用優(yōu)化的。把LLM硬塞進(jìn)去，就像把賽車(chē)引擎裝進(jìn)家用轎車(chē)的底盤(pán)——能跑，但隨時(shí)可能散架。更麻煩的是，供應(yīng)商鎖定（vendor lock-in）的風(fēng)險(xiǎn)被嚴(yán)重低估。當(dāng)整個(gè)業(yè)務(wù)流程依賴(lài)單一廠(chǎng)商的API和工具鏈，遷移成本會(huì)指數(shù)級(jí)上升。

斯坦福委員會(huì)在報(bào)告中反復(fù)提到一個(gè)現(xiàn)象：機(jī)構(gòu)們急于「做點(diǎn)什么」，卻跳過(guò)了最基本的治理框架設(shè)計(jì)。模型所有者、數(shù)據(jù)管理員、風(fēng)險(xiǎn)經(jīng)理的角色邊界模糊，決策鏈條在關(guān)鍵時(shí)刻斷裂。

內(nèi)部審計(jì)協(xié)會(huì)（Institute of Internal Auditors）提出的「三道防線(xiàn)模型」（Three Lines Model）被部分機(jī)構(gòu)采納——第一道防線(xiàn)是業(yè)務(wù)部門(mén)自我管控，第二道是風(fēng)險(xiǎn)與合規(guī)職能，第三道是獨(dú)立審計(jì)。但落地時(shí)往往變成紙面文章，因?yàn)槿狈绮块T(mén)的協(xié)調(diào)機(jī)制和實(shí)時(shí)可見(jiàn)性工具。

10%的提示里藏著什么

回到那個(gè)10%的數(shù)字。每10個(gè)發(fā)給企業(yè)AI的提示，就有1個(gè)包含敏感信息。這可能是客戶(hù)數(shù)據(jù)、財(cái)務(wù)記錄、未公開(kāi)的產(chǎn)品計(jì)劃，或者員工的個(gè)人身份信息。員工不是故意違規(guī)——他們只是想讓模型更好地完成任務(wù)。

問(wèn)題在于，大多數(shù)組織沒(méi)有部署有效的數(shù)據(jù)丟失防護(hù)（DLP）策略來(lái)監(jiān)控AI交互。傳統(tǒng)的安全工具設(shè)計(jì)用于電子郵件、文件傳輸和數(shù)據(jù)庫(kù)查詢(xún)，對(duì)自然語(yǔ)言對(duì)話(huà)的上下文理解幾乎為零。一個(gè)員工可以把機(jī)密項(xiàng)目代碼粘貼進(jìn)聊天窗口，系統(tǒng)不會(huì)觸發(fā)任何警報(bào)。

更隱蔽的風(fēng)險(xiǎn)是模型本身的「記憶」機(jī)制。某些實(shí)現(xiàn)方式會(huì)在會(huì)話(huà)間保留上下文，或者在微調(diào)過(guò)程中吸收訓(xùn)練數(shù)據(jù)。這意味著今天的「無(wú)害」提示可能成為明天的數(shù)據(jù)泄露源頭，而安全團(tuán)隊(duì)對(duì)此一無(wú)所知。

治理框架的缺失還體現(xiàn)在供應(yīng)商評(píng)估環(huán)節(jié)。企業(yè)采購(gòu)傳統(tǒng)軟件時(shí)，會(huì)審查安全認(rèn)證、合規(guī)證明、災(zāi)難恢復(fù)計(jì)劃。但對(duì)AI服務(wù)提供商，這些標(biāo)準(zhǔn)要么不適用，要么被簡(jiǎn)化為「他們也服務(wù) Fortune 500」的信任背書(shū)。

Google和Perplexity的漏洞事件說(shuō)明，即使是資源充沛的科技巨頭，也在安全攻防中處于被動(dòng)。攻擊者的創(chuàng)新速度超過(guò)了防御體系的迭代周期，而企業(yè)客戶(hù)的可見(jiàn)性?xún)H限于供應(yīng)商選擇披露的層面。

從即興表演到系統(tǒng)設(shè)計(jì)

斯坦福委員會(huì)的7次會(huì)議記錄了一個(gè)行業(yè)的集體焦慮：所有人都知道AI很重要，但沒(méi)有人知道「正確」的推進(jìn)方式。這種不確定性催生了兩種極端反應(yīng)——要么全面凍結(jié)AI項(xiàng)目等待監(jiān)管清晰，要么放任各部門(mén)自行其是，用「創(chuàng)新」的名義繞過(guò)所有風(fēng)控。

兩種策略都有代價(jià)。凍結(jié)意味著競(jìng)爭(zhēng)對(duì)手可能建立難以逾越的先發(fā)優(yōu)勢(shì)；放任則積累技術(shù)債務(wù)和合規(guī)風(fēng)險(xiǎn)，終將在某個(gè)審計(jì)節(jié)點(diǎn)或安全事件中爆發(fā)。

中間路徑存在，但需要組織層面的痛苦調(diào)整。明確的所有權(quán)結(jié)構(gòu)、貫穿模型全生命周期的問(wèn)責(zé)框架、為推理負(fù)載重新設(shè)計(jì)的基礎(chǔ)設(shè)施、以及實(shí)時(shí)監(jiān)控AI交互的安全工具——這些都不是采購(gòu)決策，而是變革管理項(xiàng)目。

MIT的95%失敗率背后，是大量企業(yè)將AI視為技術(shù)升級(jí)而非運(yùn)營(yíng)模式重構(gòu)。他們買(mǎi)了API，培訓(xùn)了提示工程，卻發(fā)現(xiàn)業(yè)務(wù)流程、決策機(jī)制、風(fēng)險(xiǎn)文化都停留在前AI時(shí)代。

斯坦福委員會(huì)最終沒(méi)有發(fā)布一份「最佳實(shí)踐指南」，而是提交了一份問(wèn)題清單。這本身就是一種誠(chéng)實(shí)：在快速演變的領(lǐng)域，過(guò)早的標(biāo)準(zhǔn)化可能比沒(méi)有標(biāo)準(zhǔn)更危險(xiǎn)。

你的組織里，誰(shuí)對(duì)AI輸出的準(zhǔn)確性負(fù)責(zé)？當(dāng)模型犯錯(cuò)時(shí)，這個(gè)責(zé)任能追溯到具體的人、流程和決策節(jié)點(diǎn)嗎——還是仍然停留在「我們還在摸索」的集體免責(zé)狀態(tài)？