重要
此功能是 Frontier 预览计划的一部分。 Frontier 将你与Microsoft的最新 AI 创新直接连接起来。 边界预览版受客户协议的现有预览条款的约束。 由于这些功能仍在开发中，其可用性和功能可能会随时间而变化。
Microsoft 365 管理中心中的“影子 AI”页可帮助 IT 管理员发现、监视和管理在其组织中使用的非托管 AI 代理。
此预览版功能提供用于检测和管理未经批准的本地 AI 代理（如 OpenClaw）的专用视图，并使管理员能够采取治理操作来维护安全性和合规性。
注意
影子 AI 目前为公共预览版。 在正式发布之前，功能、支持的代理和行为可能会更改。
先决条件
若要使用影子 AI 检测和治理，需要：
Microsoft 365 E3查看影子 AI 代理的许可证。
至少具有以下角色之一：
Microsoft Intune托管 Windows 设备的注册。
在Microsoft 365 管理中心选择加入“前沿预览”体验。
什么是影子 AI？
影子 AI 是指用户在没有 IT 意识或批准的情况下使用的 AI 驱动的工具和代理。 虽然这些工具可以提高工作效率，但非托管使用可能会带来以下风险：
- 数据泄漏。
- 符合性违规。
- 安全漏洞。
- 缺乏可审核性和治理能力。
影子 AI 工具的常见示例包括：
- 未经授权的 AI 编码助手。 例如，OpenClaw。
- 本地代理、MCP 服务器和代理 CLI。
- 具有 AI 功能的浏览器扩展。
影子 AI 体验可帮助管理员识别和管理这些风险，而不会中断合法的业务工作流。
可用功能
在公共预览版期间，影子 AI 体验允许管理员检测和阻止以下影子 AI 代理：
| 代理 | 检测 | 阻塞 |
|---|---|---|
| OpenClaw | 可用 | 可用 |
注意
影子 AI 检测和阻止目前仅适用于使用 Microsoft Intune 注册的托管 Windows 设备。
访问影子 AI (Frontier) 代理
Microsoft 365 管理中心中的影子 AI (Frontier) 页是独立于“所有代理”页的专用体验。 它专门关注需要检测和治理的非托管 AI 代理。
若要访问Microsoft 365 管理中心中的影子 AI (Frontier) 页，请执行以下步骤：
登录到 Microsoft 365 管理中心。
在左侧导航栏中，选择“ ...”“全部显示”，然后选择“ 代理 ”将其展开。
在 “代理”下，选择“ 影子 AI (边界)
“影子 AI (边疆) ”页显示可在环境中检测到的已知影子 AI 代理列表。
查看影子 AI 代理详细信息
若要查看影子 AI 代理详细信息（如 OpenClaw 详细信息），请从影子 AI (Frontier) 页中的代理列表中选择 影子 AI 代理。
此时会打开所选影子 AI 代理的详细信息窗格。 确保选择了 “详细信息 ”。 在 “详细信息” 中，可以查看有关代理类型的信息。 例如：
- 上次扫描时。
- 如果存在任何Microsoft Intune当前应用的安全策略。
为影子 AI 代理启用检测
若要在广泛采用之前主动配置影子 AI 代理的检测，请执行以下步骤：
在“影子 AI 代理详细信息”窗格中，选择“ 安全策略”。
在“ 安全策略”下，选择“ 持续检测托管设备”。
选择 “应用策略 ”进行确认。
查看影子 AI 代理检测到的设备
为影子 AI 代理启用检测后，可以按照以下步骤在影子 AI 代理详细信息窗格中查看检测到的设备：
在“影子 AI 代理详细信息”窗格中，选择“ 检测到的设备 ”选项卡。
将显示检测到的设备的列表和计数。
注意
仅当应用检测策略时，才会填充检测到的设备列表和计数。 最初启用检测策略后，设备可能需要一些时间才能与Microsoft Intune同步，检测到的设备才会填充到列表中。
在 “检测到的设备”中，可以搜索特定的设备名称。 还可以查看以下设备数据：
- 设备名称：设备的名称。
- 设备类型：设备类型 (桌面、虚拟机、服务器、笔记本电脑等 )
- 操作系统：设备上安装的操作系统。
- 上次Intune扫描：上次Microsoft Intune扫描设备的时间。
阻止影子 AI 代理
启用检测并在环境中标识影子 AI 代理后，可以阻止它以防止在托管设备上执行。 当影子 AI 代理（如 OpenClaw）被阻止时，它会通过创建新的Microsoft Intune策略来阻止其运行方式，该策略会自动传播到Intune中注册的所有托管 Windows 设备。
若要查看策略详细信息，请在在 Microsoft Intune 中分配策略一文中搜索策略名称 A365 - 阻止 OpenClaw。 根据组织中配置Intune的方式，此Intune策略更新可能需要 15 分钟到 8 小时才能应用。 可以在Intune中找到完整的策略详细信息，包括应用Intune策略时。 最后，还可以在Intune中编辑策略以添加其他控件。
若要阻止影子 AI 代理，请执行以下步骤：
在“影子 AI 代理详细信息”窗格中，选择“ 安全策略”。
在“安全策略”下，选择“从<影子 AI 代理名称>中阻止 AI 代理”。 例如，选择“ 阻止 OpenClaw 中的 AI 代理”。