Encontrar y detener el uso de Shadow AI

Shadow AI suele empezar como una necesidad práctica: un equipo tenía una tarjeta corporativa y se registró en un API de modelos. El tráfico existe, pero no la gobernanza. Primero hay que hacerlo visible y luego decidir cómo actuar.

Respuesta breve#

• Unifique el tráfico para registrar cada solicitud de modelo.
• El registro estricto convierte un modelo desconocido en un rechazo visible y accionable.
• Atribuya uso a identidades para saber qué cliente lo generó.
• Espere más alertas la primera semana; gran parte del uso es legítimo y solo necesita una vía aprobada.

Cómo hacerlo en AI-FW#

1. Ponga el gateway en la ruta. Configure una base URL común; clientes OpenAI y Anthropic suelen requerir solo cambiarla.
2. Active Reject Unregistered Models. Las solicitudes a modelos no aprobados se rechazan en vez de reenviarse y quedan atribuidas.
3. Revise alertas, no solo bloqueos. Dashboard muestra intentos de modelos no registrados; Audit Logs incluye identidad del llamador.
4. Ofrezca una vía legítima. Registre el modelo necesario, asigne una clave por modelo mantenida en servidor y enrútelo bajo política.
5. Añada puntuación de riesgo. Intentos repetidos pueden elevar riesgo y activar un cooldown mientras se investiga.

Verificar#

• Confirme que intentos no registrados aparecen en transacciones con identidad.
• Verifique que los modelos registrados siguen funcionando.
• Revise mensualmente Model Inventory para encontrar modelos sin uso y claves que rotar.

Relacionado#

• Shadow AI
• Enrutamiento y registro de modelos
• Perfiles de riesgo y bloqueo automático

Preguntas frecuentes#

¿El registro estricto rompe tráfico aprobado? No. Los modelos registrados siguen funcionando; solo se rechazan modelos ausentes y cada intento se atribuye a una identidad.

¿Cómo incorporamos un modelo que ya usa el equipo? Regístrelo con proveedor y clave, y permita el enrutamiento bajo política. El objetivo es adopción por una vía aprobada, no bloqueo permanente.