מתחילים בחינם

מדריך ל-IT

אפליקציות Shadow AI: מה ה-IT יכול לעשות עם כלים שעובדים בונים עם AI

תשובה מהירה

כדאי להניח שהאפליקציות האלה כבר קיימות. מוצאים אותן בלי להאשים אף אחד, ואז נותנים לבונים מקום מאושר אחד לפרוס בו: מאחורי ההתחברות של החברה, עם בעלים מוגדרים לכל אפליקציה. מדיניות של עמוד אחד מכסה את השאר.

איסור על כלי AI כמעט אף פעם לא עובד. הוא רק מעביר את האפליקציות למקום שאי אפשר לראות. העמוד הזה מסביר מה זה Shadow AI, מה הסיכונים האמיתיים של אפליקציות פנימיות שנבנו עם AI, איך מוצאים את מה שכבר קיים, ומדיניות שאפשר להעתיק.

עודכן לאחרונה נכתב על ידי TeamOnly. אנחנו מפעילים את אחד המקומות שבונים יכולים לפרוס אליהם, ואנחנו אומרים את זה כשזה עולה.

01הגדרות

מה זה Shadow AI?

שלושה מונחים שמתבלבלים ביניהם. הם מתארים את אותו הרגל בשלבים שונים.

Shadow IT
תוכנות ושירותים שאנשים משתמשים בהם לעבודה בלי שה-IT יודע או מאשר. חשבון פרטי לשיתוף קבצים, כלי לניהול פרויקטים שמשולם בכרטיס של מישהו.
Shadow AI
אותו דבר, עם כלי AI. עובדים מדביקים נתוני חברה בצ׳אטבוטים או בפיצ׳רים של AI שה-IT לא בדק.
אפליקציות Shadow AI
החלק החדש יותר. עובדים משתמשים ב-Claude Code, Cursor, Lovable, Replit, Bolt או v0 כדי לבנות אפליקציה עובדת, מעלים אותה לאוויר ושולחים את הקישור לעמיתים. האפליקציה מחזיקה נתוני חברה וממשיכה לרוץ.

השלישי שונה כי הוא נשאר. שיחה בצ׳אט נגמרת בתוך דקה. לאפליקציה יש משתמשים, נתונים וקישור שממשיך לעבוד, ולרוב בחשבון הפרטי של מי שבנה אותה.

נבדק ב-25 באוקטובר 2026. מקורות: Retool AI Governance Report 2026 (סקר של ספק, יוני 2026), סיכום המחקר של Red Access ב-The Hacker News (מאמר אורח, מאי 2026).

02הסיכונים האמיתיים

מה יכול להשתבש באפליקציות פנימיות שנבנו עם AI?

הקוד הוא כמעט אף פעם לא הבעיה העיקרית. איפה האפליקציה יושבת, ומי יכול לפתוח אותה, בדרך כלל כן.

  • קישורים ציבוריים עם נתוני החברה

    הרבה פלטפורמות לבניית אפליקציות מפרסמות לאינטרנט הפתוח, אלא אם משלמים על האפשרות הפרטית או מוצאים אותה. קישור שאף אחד לא סיפר עליו עדיין משותף הלאה, ולפעמים גם נכנס למנועי חיפוש.

  • סיסמאות משותפות

    סיסמה על כל האפליקציה מגיעה לשרשורי צ׳אט ולמיילים. האפליקציה לא יודעת מי עשה מה, ומי שעוזב עדיין יודע אותה.

  • אפליקציות בחשבונות פרטיים

    האפליקציה רצה על הפלטפורמה שהבונה נרשם אליה, מחויבת בכרטיס שלו ותחת ההתחברות שלו. לחברה אין גישת ניהול אליה, ויכול להיות שהיא בכלל לא יודעת שהיא קיימת.

  • אין בעלים כשמישהו עוזב

    כשהבונה עוזב, האפליקציה או ממשיכה לרוץ בלי שאף אחד אחראי עליה, או נעצרת כשהכרטיס שלו מבוטל. בשני המקרים, הצוות שהסתמך עליה מגלה אחרון.

  • אין רשימה של מה שקיים

    אי אפשר לבדוק, לתקן או להוריד אפליקציה שלא יודעים עליה. בלי רשימה, כל הסיכונים האלה בלתי נראים.

  • סודות בקוד, מסדי נתונים פתוחים

    כלי AI כותבים לפעמים מפתחות API בתוך קוד שרץ בדפדפן, ושם כל מי שפותח את האפליקציה יכול לקרוא אותם. מסד נתונים מתארח שה-row-level security בו כבוי אפשר לקרוא בלי לעבור דרך האפליקציה בכלל.

03צעד אחר צעד

איך מוצאים את האפליקציות שכבר קיימות?

אין כלי אחד שמוצא את כולן. הצעדים האלה, ביחד, מוצאים את רובן בתוך אחר צהריים.

  1. שואלים, בלי להאשים

    שולחים הודעה קצרה אחת: “אם בניתם עם AI כלי שעמיתים משתמשים בו, ספרו לנו. שום דבר לא ייסגר, אנחנו רוצים לעזור לכם להמשיך להריץ אותו בצורה בטוחה.” בונים בדרך כלל שמחים שמישהו שאל.

  2. בודקים דוחות הוצאות ודפי כרטיס אשראי

    מחפשים מינויים ל-Lovable, Replit, Bolt, Vercel, Netlify, Supabase, Cursor ו-Claude. פלטפורמה לבניית אפליקציות בדוח הוצאות בדרך כלל אומרת שיש אפליקציה איפשהו.

  3. בודקים לאן אנשים התחברו עם חשבון העבודה

    גם Google Workspace וגם Microsoft Entra מציגים את אפליקציות הצד השלישי שאנשים חיברו לחשבון העבודה, ולוגי ההתחברות מראים באילו מהן הם משתמשים. פלטפורמות לבניית אפליקציות מופיעות שם כשאנשים נרשמים עם “התחברות עם Google” או עם Microsoft.

  4. מחפשים כתובות של אפליקציות

    מחפשים בלוגים של DNS או של ה-proxy, ובצ׳אט של החברה, כתובות כמו *.lovable.app, *.replit.app, *.vercel.app, *.netlify.app ו-*.pages.dev. קישורים בצ׳אט הם לרוב הדרך המהירה ביותר למצוא את האפליקציות שאנשים באמת משתמשים בהן.

  5. בודקים מלאי דפדפנים ומכשירים, אם יש

    אם אתם מנהלים דפדפנים או לפטופים, המלאי מראה תוספים של AI ואפליקציות כמו Cursor או Claude שמותקנות. זה אומר מי בונה, לא מה נבנה, אז ממשיכים בשאלה.

  6. כותבים את זה

    שורה אחת לכל אפליקציה: שם, בעלים, איפה היא מתארחת, אילו נתונים יש בה, מי משתמש בה. הגיליון הזה הוא המלאי הראשון שלכם, והוא מראה אילו אפליקציות להעביר קודם.

04להעתקה

מדיניות וייב קודינג שאפשר לאמץ

קצרה מספיק כדי שאנשים יקראו אותה. משנים את החלקים ב[סוגריים] ושולחים.

מדיניות: כלים שנבנו עם AI

  1. על מה זה חל. כל אפליקציה, סקריפט או כלי שנבנו בעזרת AI (Claude Code, Cursor, Lovable, Replit, Bolt, v0 או דומים) ומישהו חוץ ממי שבנה אותם משתמש בהם.
  2. מותר לבנות. כל אחד רשאי לבנות כלים לעבודה שלו. לא צריך אישור כדי לנסות רעיון.
  3. איפה האפליקציות יושבות. אפליקציות שעמיתים משתמשים בהן נפרסות ל[ספק האחסון המאושר שלנו]. לא בחשבון פרטי, ולא באחסון ציבורי.
  4. קודם התחברות. כל אפליקציה מבקשת חשבון של החברה לפני שהיא מציגה מסך או נתונים כלשהם. בלי סיסמאות משותפות ובלי קישורים ציבוריים.
  5. נתונים. נתוני עבודה פנימיים מותרים. מידע אישי של לקוחות, נתוני כרטיסי אשראי, מידע רפואי וסיסמאות למערכות אחרות דורשים קודם בדיקה עם ה-IT. נתוני החברה אף פעם לא נכנסים לאפליקציה בחשבון פרטי.
  6. מפתחות וסיסמאות. מפתחות API וסיסמאות נשמרים בהגדרות הסודות של ספק האחסון. אף פעם לא בקוד, ואף פעם לא בצ׳אט.
  7. לכל אפליקציה יש בעלים. הבעלים דואגים שהיא תעבוד ומחליטים מי יכול לפתוח אותה: כל החברה או רשימה של אנשים בשם.
  8. כשמישהו עוזב. לפני שמישהו עוזב או מחליף תפקיד, האפליקציות שלו עוברות לבעלים חדשים. אפליקציה שאף אחד לא לוקח מושבתת.
  9. מדווחים, בלי להאשים. אם מצאתם אפליקציה עם נתוני החברה שכל אחד יכול לפתוח, ספרו ל[איש הקשר ב-IT]. אף אחד לא מסתבך בגלל דיווח.
  10. בדיקה תקופתית. ה-IT עובר על רשימת האפליקציות כל [רבעון]. אפליקציות שאף אחד לא השתמש בהן [90 יום] אפשר למחוק אחרי ששואלים את הבעלים.

רוצים את זה כטקסט פשוט? בגרסת ה-Markdown של העמוד המדיניות מוכנה להדבקה (באנגלית).

למה לא פשוט לאסור?

אנשים בונים את הכלים האלה כי הם פותרים בעיות אמיתיות. איסור לא מעלים את הבעיה, הוא מעביר את הכלי לחשבון פרטי. מקום מאושר אחד לפריסה נותן לכם את אותם כלים, מאחורי ההתחברות שלכם, ברשימה שאפשר לקרוא.

05מקום מאושר

לתת לבונים מקום בטוח לפרוס בו

המדיניות עובדת כשספק האחסון המאושר עושה את החלקים הקשים, כך שהבונים לא יכולים לטעות בהם. זה מה ש-TeamOnly עושה.

התחברות לפני שקוד האפליקציה רץ
כל בקשה לכל אפליקציה נבדקת קודם. מי שלא התחבר לא מגיע לאפליקציה. אין הגדרה שהופכת אפליקציה לציבורית.
רק חשבונות של החברה
עמיתים מתחברים עם Google או Microsoft של העבודה, או עם קוד שנשלח למייל העבודה. רק הדומיינים שלכם נכנסים, וחשבונות פרטיים נדחים.
כל אפליקציה ברשימה
לוח הבקרה מציג כל אפליקציה בחברה, את הבעלים שלה, מי יכול לפתוח אותה וכל פריסה. הגישה היא לכל החברה או לרשימה של אנשים בשם.
בעלים חדשים כשאנשים עוזבים
אדמינים מעבירים אפליקציה לבעלים חדשים בלוח הבקרה. משביתים את חשבון העבודה של מישהו, והתחברויות חדשות נעצרות. אדמינים בוחרים כמה זמן התחברות לאפליקציות נמשכת, מ-8 שעות עד 30 יום.
ניתוק מכל מקום
אדמין יכול לנתק בונה מכל הטרמינלים ומלוח הבקרה בבת אחת.
אפליקציות מופרדות
לכל אפליקציה יש מסד נתונים, אחסון קבצים וסודות משלה, ועוגיית הסשן שלה מוגבלת לכתובת שלה. מפתחות מוגדרים עם npx teamonly secrets set, מחוץ לקוד.

מסלול Builder עולה $19 לחודש לבונה אחד ו-3 אפליקציות. מסלול Team עולה $249 לחודש לאפליקציות ובונים ללא הגבלה. מי שרק משתמש באפליקציות לא משלם. מחירים.

מה זה לא עושה: TeamOnly מארח אפליקציות ווב פנימיות עם ממשק React ו-API ב-JavaScript או TypeScript. הוא לא מארח אתרים ציבוריים או אפליקציות Python, ואין לנו היום הסמכת SOC 2 או ISO. פרטי אבטחה.

TeamOnly ל-ITמתחילים

06שאלות נפוצות

שאלות שאנשים שואלים

כל השאלות והתשובות

מה זה Shadow AI?

Shadow AI הוא שימוש של עובדים בכלי AI לעבודה בלי שה-IT יודע או מאשר, ולרוב עם נתוני החברה בתוכם. זה התחיל בצ׳אטבוטים. היום זה כולל גם אפליקציות עובדות שעובדים בונים עם AI ומשתפים עם עמיתים.

מה ההבדל בין Shadow IT ל-Shadow AI?

Shadow IT הוא כל תוכנה או שירות שאנשים משתמשים בהם לעבודה מחוץ לעיני ה-IT, כמו חשבון לשיתוף קבצים או כלי לניהול פרויקטים שמשולם בכרטיס פרטי. Shadow AI הוא אותו דבר עם כלי AI. אפליקציות Shadow AI הולכות צעד אחד הלאה: העובד לא רק משתמש בכלי, הוא בנה כלי, והכלי מחזיק נתונים של החברה.

כדאי לאסור וייב קודינג?

איסור כמעט אף פעם לא מעלים את הצורך. אנשים בונים את הכלים האלה כי הם פותרים בעיות אמיתיות, ולכן איסור מעביר אותם לחשבונות פרטיים שאי אפשר לראות. לרוב החברות עדיף מדיניות קצרה ומקום מאושר אחד לפריסה.

איך מוצאים את האפליקציות שאנשים כבר בנו עם AI?

שואלים, בלי להאשים. אחר כך בודקים בדוחות ההוצאות מינויים ל-Lovable, Replit, Vercel ודומיהם, את רשימת אפליקציות הצד השלישי שאנשים חיברו לחשבון העבודה ב-Google Workspace או ב-Microsoft Entra, ולוגים של DNS או של הצ׳אט עם כתובות כמו *.lovable.app או *.vercel.app.

מה צריך לכלול מדיניות וייב קודינג?

מה מותר לבנות, לאן חייבים לפרוס אפליקציות, שכל אפליקציה דורשת התחברות של החברה, אילו נתונים מותרים, איפה שומרים מפתחות וסיסמאות, מי הבעלים של כל אפליקציה, ומה קורה כשהבעלים עוזב. המדיניות בעמוד הזה נכנסת בעמוד אחד ואפשר להעתיק אותה כמו שהיא.

האם אפליקציות שנבנו עם AI הן סיכון אבטחה?

בכלים פנימיים, הסיכון הגדול יותר הוא בדרך כלל איפה האפליקציה יושבת, לא הקוד: קישור ציבורי, סיסמה משותפת, חשבון פרטי, מפתחות שכתובים בתוך הקוד, או אף אחד שאחראי עליה אחרי שהבונה עוזב. את כל אלה אפשר לפתור דרך המקום שאליו פורסים את האפליקציה.

להמשך קריאה

גישה מוקדמת

לתת לבונים מקום מאושר אחד לפרוס בו.

כל המסלולים פתוחים עכשיו, ובונים יכולים לנסות 14 ימים בחינם בלי כרטיס אשראי. החברה מוכנה מיד, ובונים יכולים לפרוס באותו יום.

לנסות 14 ימים בחינםאו להירשם עכשיו

בלי כרטיס אשראי לתקופת הניסיון. אחר כך החל מ-$19 לחודש, ביטול בכל עת.

עוד לא מוכנים? עדכונים במייל

כדאי להשתמש במייל העבודה. אנחנו כותבים לעתים רחוקות, ורק כשיש חדשות ששווה לשלוח.

שאלות שולחים אל hello@teamonly.dev, ובן אדם עונה.