Shadow AI se ascunde acolo unde inventarul tău nu se uită

Întreabă majoritatea echipelor IT ce instrumente AI rulează pe stațiile de lucru, iar răspunsul sincer este „cele pe care le-am blocat". Amprenta reală este mult mai mare, iar cea mai mare parte nu apare niciodată într-un inventar software. Bitdefender a adăugat în GravityZone o funcție de AI Visibility and Control (AIVC) care țintește exact această zonă oarbă — iar problema merită înțeleasă indiferent de soluția pe care o folosești.

Ce s-a întâmplat

Bitdefender a prezentat GravityZone AIVC, un strat de descoperire și evaluare a riscului pentru endpoint-urile Windows. Rulează ca parte a scanării de risc existente, prin agentul GravityZone, și răspunde la trei întrebări: ce software AI este prezent, cine îl folosește și cât de riscantă este configurația lui.

Potrivit producătorului, AIVC:

• Recunoaște peste 50 de agenți AI și peste 70.000 de „skills" — pachetele modulare, descărcate din registre publice, care extind ce poate face un agent.
• Încadrează fiecare serviciu descoperit într-una din 17 categorii funcționale (LLM, programare, agenți, MCP, modele locale etc.), ca fiecare echipă să filtreze ce o interesează.
• Colectează doar metadate de configurare — nu prompturi, istoric de chat, modele, credențiale sau conținutul complet al fișierelor.
• Oferă pentru fiecare serviciu și constatare un scor de risc, lista endpoint-urilor afectate și recomandări de remediere, în două vizualizări: inventarul („AI Services") și coada de riscuri prioritizate („AI Findings").

Funcția nu blochează nimic singură. Aplicarea regulilor rămâne la controalele existente: filtrarea web pentru serviciile din browser, reguli de detecție personalizate (de exemplu oprirea unui proces după nume) pentru aplicațiile locale și mecanismul de hardening PHASR, care poate trata un agent AI separat de utilizatorul care îl rulează.

De ce contează

AI ajunge pe un laptop administrat pe patru căi, iar controalele clasice acoperă fiecare cale doar parțial:

1. Browserul. Un asistent de chat într-un tab nu instalează nimic — inventarul nu are ce găsi.
2. Mediul de dezvoltare. Asistenții de cod vin ca extensii de editor, care nu sunt „programe instalate", dar stau lângă codul sursă, fișierele de configurare și adesea lângă credențiale.
3. Rulare locală. Runtime-urile de modele, framework-urile de agenți și serverele MCP (Model Context Protocol) rulează direct pe mașină. Filtrarea web nu le vede, pentru că traficul nu trece prin gateway.
4. Conexiuni configurate. O intrare MCP către o bază de date, un repository sau un API intern înseamnă de multe ori câteva rânduri într-un fișier de configurare — fără installer, fără trafic de inspectat — dar face deja parte din suprafața ta de atac.

Cazul MCP este cel mai delicat. Un conector cu acces doar de citire la un raport și unul cu drept de scriere în baza de date de producție arată identic din exterior; diferența stă exclusiv în configurare. Exemplele de constatări prezentate de Bitdefender sunt grăitoare: servere MCP cu acces prea larg la sistemul de fișiere, instalate din surse neoficiale, cu versiuni nefixate, transport prin HTTP necriptat sau credențiale incluse direct în URL.

Două idei rămân valabile indiferent de producător. Unu: un scor de risc curat nu înseamnă aprobare — un instrument bine configurat, dar neautorizat, tot shadow AI rămâne. Doi: blocarea site-urilor AI cunoscute nu este o politică; fără să știi ce rulează efectiv, ajungi să aplici reguli pe ghicite.

Ce e de făcut

• Extinde inventarul dincolo de programele instalate. Include utilizarea AI din browser, extensiile de IDE, runtime-urile locale, framework-urile de agenți și fișierele de configurare MCP.
• Caută configurațiile MCP. Verifică unde au conectat dezvoltatorii asistenții la sisteme de ticketing, repository-uri, baze de date sau API-uri interne: drepturi (citire vs. scriere), proveniența serverului, versiune fixată, secrete în configurare.
• Păstrează o listă de instrumente aprobate și compară cu ce descoperi — „fără constatări" nu înseamnă permisiune.
• Tratează skill-urile și pluginurile agenților ca pe dependențe. Vin din registre publice; aplică aceeași igienă de supply chain ca la npm sau PyPI.
• Separă privilegiile agentului de cele ale utilizatorului acolo unde soluția de EDR/hardening permite, astfel încât agentul să primească doar ce îi trebuie.
• Aplică regulile cu instrumentele pe care le ai deja — filtrare web, reguli pentru aplicații și procese, politici de hardening — după ce știi ce rulează de fapt.
• Dă echipei SOC lista de stații afectate. Un runtime local sau un server MCP este un proces care rulează în afara sandbox-ului browserului; datele despre endpoint-uri sunt un punct de plecare pentru investigații, nu doar un indicator de postură.

Shadow AI nu e o problemă de viitor. Este deja pe endpoint-urile tale — întrebarea e dacă o poți vedea.

Detaliile despre produs sunt rezumate din prezentarea Bitdefender publicată de The Hacker News (13.10.2026).