Skugg-AI var det enkla problemet: Den verkliga risken är dolda agenter i godkänd programvara

För två år sedan betydde skugg-AI att anställda klistrade in kunddata i ChatGPT. Lösningen var, i stort sett, hanterbar: upptäck verktygen, sanktionera de bra, blockera de dåliga, utbilda personalen. De flesta organisationer befinner sig någonstans mittemellan i genomförandet av den spelboken, där 61% redan har stött på skugg-AI i sina miljöer och spelboken fungerar till stor del.

Men denna beskrivning beskriver inte längre problemet. Skugg-AI har förskjutits bortom ett beteendeproblem till ett arkitektoniskt problem. Traditionell styrning kan inte hålla jämna steg med den moderna landskapsbilden, inklusive leverantörsinbäddade och anställda kablage av AI-agenter som opererar inom godkända system med ärvt behörighet, vilket gör identitet till den enda riktiga kontrollpunkten.

De två skuggor du inte övervakar

Den intressanta frågan 2026 är inte vilket AI-verktyg en anställd öppnade. Det är vilken AI-agent din sanktionerade leverantör tyst skickade in i förra kvartalets produktuppdatering och vilka behörigheter den ärvt från den mänskliga som installerade den.

Skugg-AI användes för att vara ett beteendeproblem. Du kunde se det, namnge det och skapa en policy mot det. Den version som sprider sig nu är struktural. Den anländer genom programvara som du redan godkänt, agerar under behörigheter som du redan utfärdat, i arbetsflöden som du redan granskat. Skuggan är inte längre beteendemässig, den är arkitektonisk. Anställda är fortfarande i bilden, men de har flyttat från att använda AI till att distribuera den: kabla agenter in i systemen de redan har tillgång till, och göra det genom gränssnitt som är utformade för att göra det enkelt. Policyn som skrevs för det första beteendet når inte det andra.

Detta är varför “förbjuda det” aldrig var den riktiga debatten. CISO:erna som kom före skugg-AI genom att sanktionera företagsverktyg och trycka anställda mot styrda alternativ vann den ronden och upptäckte att nästa var redan på gång och att den hade två vektorer, inte en. Den första är vad sanktionerade leverantörer skickar in i produkter som redan är i produktion: inbäddade modeller, agenter, nya integrationer som anlände i en releasedetalj som ingen läste. Den andra är vad anställda kablar upp själva: en LLM ansluten till CRM via en kodfri automatisering, en anpassad GPT som fått en API-nyckel till datawarehousen, en MCP-anslutning från en skrivbordsassistent till ett produktionsystem. Båda producerar samma resultat, som inkluderar agenter som agerar under godkända behörigheter, mot godkända system, i arbetsflöden som aldrig gick igenom någon granskning som var utformad för att fånga dem. Inköp kan se den första vektorn och missa den andra helt.

Det är värt att vara ärlig om hur ojämnt den första ronden faktiskt vanns. Nio av tio organisationer planerar AI-relaterade IT-budgetökningar, med många som planerar en bredare expansion över IT-verksamheten under de kommande 6-24 månaderna. Utgifterna flyter mot intelligenta funktioner. Kontroller håller jämna steg med tummar. Den obalansen är problemet, inte en bieffekt av det.

Perimetern var alltid mänsklig

Den mentala modellen som fungerade för den första vågen fungerar inte för den här. Skugg-AI som anställdbeteende antog en mänsklig i slingan som gjorde ett val som säkerhetsteamet kunde påverka. Skugg-AI som leverantörsarkitektur tar bort valet. Modellen som skrev e-postmeddelandet, agenten som schemalade mötet, assistenten som sammanfattade dokumentet och vidarebefordrade det. Ingen av dem krävde att en anställd gjorde något annat än att fortsätta använda programvara som de blev tillsagda att använda.

Det ärliga svaret är att den periferi som de flesta säkerhetsprogram fortfarande försvarar var en periferi av mänskligt agerande. Anställda som öppnade verktyg, anställda som beviljade åtkomst, anställda som fattade beslut som säkerhetsteamet kunde observera och forma. Den periferin upplöses i två riktningar på samma gång. Från ovan skickar leverantörer agenter in i godkända produkter snabbare än någon granskningsprocess kan hålla jämna steg. Från nedan flyttar anställda ut ur användarrollen och in i integratörsrollen, genom att kabla agenter in i system via gränssnitt som var utformade för att vara självservande och aldrig var instrumenterade för styrning. Den ersättande periferin, byggd kring vad identiteter gör, oavsett om dessa identiteter är människor eller inte, och oavsett vem som distribuerade dem, kräver en kontrollväv som de flesta organisationer ännu inte har.

Den enda platsen kvar att titta

Identitet är den riktiga kontrollpunkten, men ramen måste skifta. Den konventionella formuleringen säger “identitet är den nya periferin” eftersom användare är överallt och enheter är överallt och SaaS är överallt. Det var sant för ett decennium sedan, nu är det en självklarhet. Den version som är viktig 2026 är annorlunda: identitet är den enda platsen där du kan se vad AI faktiskt gör, eftersom när det faktiskt gör det har verktygsgränsen redan korsats. Agenten agerar under någons behörighet. Vems, med vilken omfattning, mot vilken data, på vems auktorisering är de enda frågorna som producerar en användbar granskningslogg. Verktygsnivåstyrning kan inte besvara dessa eftersom verktyget inte längre är analysenheten.

Nästan 90% av IT-cheferna erkänner redan att enhetlighet har en direkt inverkan på deras förmåga att implementera och skala AI på ett säkert sätt. Den svårare frågan är vad enhetlighet faktiskt betyder på kontrollnivån. Det kan inte bara betyda färre instrumentpaneler. Det betyder en enda identitetsväv där varje aktör, oavsett om det är en människa, tjänstekonto, agent, inbäddad modell, tilldelas, omfattas, övervakas och pensioneras genom samma uppsättning mekanismer. Allt mindre än det ger dig sken av konsoliderad styrning när det i själva verket är fragmenterad verkställighet.

Din leverantörsgranskning har ett utgångsdatum

Tyvärr är en leverantörsgranskning bara giltig under en viss tid. Detta har obekväma implikationer för hur säkerhetsprogram är strukturerade. De flesta AI-styrningskommittéer är organiserade kring verktygsgranskning, med leverantörer som kommer in och utvärderas, sanktioneras eller avvisas, för att läggas till i registret. Den processen antar att verktygets beteende vid sanktionstidpunkten är verktygets beteende i produktion. För AI-inbäddad programvara är den antagandet brutet innan bläcket torkar. Leverantören kommer att skicka en ny modell, en ny agentläge, en ny integration, och den styrningsgranskning som godkändes för sex månader sedan beskriver nu ett produkt som inte längre existerar.

Från verktyget till identiteten

De program som kommer att hålla är de som flyttar styrning från verktyget till identiteten. Varje åtgärd mot din data, av vilken aktör som helst, är spårbar till en identitet med en känd ägare, en omfattad behörighetssätt och en definierad livslängd. Oavsett om det är en människa eller inte, anställd eller agent, sanktionerat verktyg eller inbäddad modell, frågan är densamma: vem är detta, vad är de tillåtna att göra, och hur vet vi när det ska sluta vara sant? Program som kan besvara dessa frågor behöver inte vinna verktygssanktioneringsracet. Program som inte kan det kommer att spela catch-up mot leverantörer och anställda som skickar snabbare än någon granskningsprocess kan flytta.

Skugg-AI som kategori försvinner inte. Särskilt med den nya åldern av den agenterade arbetsstyrkan, 72% av organisationerna har redan AI-agenter i produktion. Istället blir det en mindre del av ett större problem. Organisationerna som kommer att spendera nästa budgetcykel på verktygsupptäckt och sanktionspolicy är de som löser 2024-problemet på en 2026-tidslinje. De som spenderar det på identitetslagersinstrumentering för människor, agenter, den otydliga kontinuiteten mellan dem, är de som löser problemet de faktiskt kommer att ha.

Den första vågen av skugg-AI lärde säkerhetsteam att de inte kunde springa ifrån anställdas nyfikenhet. Den andra vågen kommer att lära dem att de inte kan springa ifrån leverantörsvelocity eller anställdas uppfinningsrikedom. Båda lektionerna pekar mot samma slutsats. Styrningsenheten var aldrig tänkt att vara verktyget. Det var alltid tänkt att vara identiteten som agerar genom det.