Pluto Security：非开发者构建的 AI 应用由财务团队带来最大风险

凌晨两点，财务主管林晓的邮箱收到一条异常警报。系统显示，上周她用低代码平台搭建的AI报销审核机器人，正在以每秒300次的频率向外部服务器传输数据。

她盯着屏幕上密密麻麻的日志记录，脑海里浮现出两周前的场景。那天技术部的张工告诉她，这个项目需要两周开发周期，还要排期做安全审计。林晓觉得太慢了，正好看到公司新采购的AI开发平台宣传页写着”5分钟构建专属AI应用”，她决定自己动手。

三天后，报销审核机器人上线了。它确实好用，能自动识别发票、核对金额、审批流程，速度比人工快了三倍。张工听说后只是摇摇头，说了句”小心点”。

现在林晓明白了那两个字的分量。

Pluto Security最新发布的调研报告显示，过去一年间，72%的AI应用安全事件并非来自黑客人侵，而是源于内部非技术人员构建的应用。这些应用大多出自市场、运营、财务等部门之手——那些渴望快速解决问题的业务人员。

“他们不是恶意，只是无畏。”Pluto Security的首席安全官陈明这样评价这个现象，”开发者懂得’为什么不能这样做’，而业务人员只看到’这样做很方便’。”

林晓的机器人正是典型案例。她在配置API接口时，无意中开启了数据共享权限，让第三方服务商能够持续拉取报销数据。更危险的是，她没有设置访问令牌的有效期，这意味着任何获得链接的人都可以永久调用这个接口。

“最讽刺的是，”陈明补充道，”财务部门本应是最重视数据安全的团队，却在无意识中成了数据泄露的源头。”

这个发现让林晓陷入了沉思。她想起部门里那些和她一样自信满满的同事——用表格搭建库存预测模型的库管员，用在线工具制作客户画像的市场专员，还有自己那个刚用提示词工程生成客服话术的客服主管。

他们都在用最敏捷的方式解决业务问题，却没有人意识到自己正在用最危险的方式埋下隐患。

第二天晨会，林晓第一次在部门里做了技术安全分享。她没有讲代码，也没有讲架构，只是讲了一个故事：一个财务主管、一次”快速开发”、一场凌晨两点的数据泄露警报。

会议室安静了很久。

“张工，”林晓最后看向技术部同事，”我们的项目还能排期吗？”

“下周一，”张工笑了笑，”我给你们做安全审计。”