AI-ul intră în companii, dar pe ușa din dos: 4 din 10 firme nu controlează „shadow AI”

Aproape trei sferturi dintre companiile participante la studiul ESET SMB Cyber Readiness Index 2026 (73%) integrează tehnologii de inteligență artificială. În același timp, 40% nu au politici care să restricționeze folosirea aplicațiilor AI în afara proceselor sau platformelor aprobate de organizație.

Această practică, numită shadow AI, poate expune datele firmelor unor riscuri de securitate.

„Multe companii repetă greșelile din primele zile ale internetului și ale rețelelor sociale, alegând comoditatea în detrimentul securității”,

arată Roman Cuprik, autor al unor articole publicate de ESET, citat de Agerpres.

El avertizează că adoptarea rapidă a agenților AI, folosirea modelelor publice și criminalitatea cibernetică asistată de inteligența artificială creează noi provocări pentru securitatea datelor.

Potrivit datelor colectate pentru studiul ESET în perioada februarie–martie 2026, 73% dintre firmele chestionate integrează AI, însă 40% nu au reguli pentru limitarea utilizării instrumentelor din afara celor aprobate.

Ce înseamnă „shadow AI”

Shadow AI desemnează folosirea la serviciu a unor instrumente sau servicii de inteligență artificială fără aprobarea organizației și în afara controalelor sale de securitate. Riscul apare, de exemplu, atunci când angajații introduc date ale companiei într-o aplicație pe care firma nu o administrează.

În opinia lui Cuprik, extinderea utilizării AI mărește și numărul punctelor prin care atacatorii pot încerca să pătrundă în sistemele unei companii.

Agenții AI pot interacționa cu mai multe aplicații și date, astfel că inclusiv o configurare greșită poate permite accesul neautorizat sau divulgarea unor informații.

Pluginuri care imită instrumente AI legitime

Specialistul atrage atenția și asupra riscurilor din platformele unde sunt distribuiți agenți AI și extensii software. Atacatorii pot crea copii ale unor instrumente legitime sau le pot modifica subtil, astfel încât utilizatorilor să le fie greu să observe pericolul.

„La jumătatea lui iunie 2026, JetBrains a primit sesizări cu privire la aproximativ 15 pluginuri terțe de pe JetBrains Marketplace, care simulau funcționalități AI legitime, dar erau de fapt concepute pentru a sustrage cheile API ale serviciilor de AI configurate de utilizatori”,

menționează Cuprik.

Cheile API sunt coduri prin care o aplicație obține acces la un serviciu; dacă sunt furate, pot fi folosite fără acordul deținătorului.

Potrivit datelor prezentate de ESET în raportul său privind amenințările din prima jumătate a anului 2026, analiza a aproximativ 900.000 de AI skills — componente care adaugă funcții unui agent AI — a identificat 25.000 suspecte și peste 3.000 malițioase.

O analiză DigiCert citată în material arată că 78% dintre organizațiile chestionate din SUA, Marea Britanie și Australia fie s-au confruntat cu un incident de securitate asociat AI, fie au identificat o vulnerabilitate legată de această tehnologie.

De asemenea, 75% au declarat că au implementat cel puțin patru instrumente AI de la începutul anului, iar 35% au raportat mai mult de zece.

Escrocherii și conturi false mai convingătoare

Cercetările ESET arată că escrocheriile care exploatează tehnologia NFC au crescut puternic între 2023 și 2025, înainte de o ușoară scădere în prima jumătate a anului 2026.

Cuprik avertizează că boții alimentați de AI ar putea deveni și mai greu de recunoscut.

Aceștia pot genera recenzii false, imita utilizatori reali și crea profiluri credibile pe rețelele sociale, care să fie folosite în fraude, tentative de extorcare sau pentru influențarea opiniei publice.