合规焦虑｜软件公司AI治理专题

AI泄密罚4.08亿！软件公司源码合规红线

4.08亿美元罚单落地，起因不是黑客。AI泄密的新剧本里，离职员工带走的不再是文件，而是一把还能用的密钥。软件公司的AI合规更要命：源代码、提示词一次粘贴就外流，商业秘密当场蒸发，事后连一条AI审计记录都拿不出来。

工具是免费的，代价不是。而最贵的那部分代价，往往不在泄露本身，而在你事后无法证明"到底发生了什么"。

过去我们防的是"带走文件"。现在要防的，是"带走能力"——一把没被吊销的签名密钥、一个没被回收的模型账号、一段还留在个人设备上的私有仓库上下文、一套被调教了半年的系统提示词。

这篇文章不谈概念，只做三件事：复盘一起刚落地的天价罚单，拆开两起中国法院与检察院公开的商业秘密案例，然后把软件公司在AI时代最容易失守的那几个口子，一个一个摆出来。

一、AI泄密4.08亿罚单复盘：一把签名密钥引发的数据泄露事故

2026年7月31日，韩国个人信息保护委员会宣布：对电商平台Coupang（酷澎）处以约6247亿韩元、折合约4.08亿美元的罚款。这是韩国迄今为止金额最高的数据泄露罚单，远超此前SK Telecom的8800万美元。

事故经过值得每一位CTO逐字读一遍：一名已经离职的前雇员，利用自己在职期间开发的替代认证系统签名密钥，于2025年4月至11月期间反复访问用户信息。最终约3750万用户的个人信息泄露，包括姓名、联系方式、配送地址、订单记录。

更刺眼的是过程中的两组数字：攻击持续期间共出现约1.48亿次异常访问尝试与明显的流量激增，企业全程未察觉；事发后，企业未在法定72小时内通知用户。此外，因无合法依据违规收集约1117万用户在第三方网站与App上的活动记录，另被单独处罚2011亿韩元。

委员会给出的定性只有一句，但足够扎心："不是复杂的黑客攻击，而是缺乏基本安全措施和系统造成的。"

【分析一】这起罚单里，软件公司应该读出的三个信号

很多人把它当成一起"电商数据泄露"新闻划过去了。但如果你是软件公司或SaaS企业的技术负责人，这起事故其实是照着你的组织结构写的。

信号一：作案工具是"他自己写的东西"。不是偷来的口令，不是撞库，是他在职期间亲手开发的替代认证系统的签名密钥。这类东西在软件公司里遍地都是——内部工具、脚本、旁路认证、调试后门、临时绕过。写它的人最清楚它的存在，而资产台账里往往没有它。人走了，代码留下了，钥匙也留下了。

信号二：1.48亿次异常访问没被看见。这不是防不住的问题，是没在看的问题。可观测性的缺失让一场持续七个多月的持续访问变成了"事后才知道"。把这个逻辑平移到AI侧：你公司过去七个月里，有多少次模型调用带出了包含内网地址、数据库连接串、私有算法的上下文？如果这个问题你答不上来，你和Coupang处在同一种状态里。

信号三：72小时通知义务是二次伤害的开关。第一层违规是泄露，第二层违规是"没能及时说清楚"。而"说清楚"的前提是你手里有完整记录。没有AI审计台账，你在监管窗口期内连"泄了什么、泄了多少、涉及哪些人"都拼不出来，罚则自然叠加。合规上真正致命的从来不是出事，而是出事之后说不清楚。

二、软件公司为什么是AI泄密最高危行业：源代码泄露与AI编码助手全库上下文

制造业丢的是图纸，电商丢的是客户名单，金融丢的是账户信息。这些都很严重，但它们丢的是"关于资产的记录"。软件公司丢的是资产本体。源代码不是产品的说明书，它就是产品。

在AI进入研发流程之前，源代码的流出路径其实很有限：拷U盘、发邮件、推到外部仓库，每一条都能被传统的数据防泄漏系统盯住。AI编码助手把这个前提彻底改写了。

原因藏在AI编码工具的工作机理里：要让它把活干好，就得让它读得多。为了补全一个函数，它需要接口定义；为了改一个bug，它需要调用链上下游；为了做重构，它需要数据模型、配置文件、依赖关系。于是"全库索引""跨文件上下文""整个仓库理解"成了各家工具的核心卖点。

问题就在这里："上下文越全，效果越好"这条工程直觉，与"最小必要"这条合规原则，是天然对冲的。研发追求前者，法务要求后者，而在实际工作中，赶进度的工程师永远会选前者。

再叠加一个现实：研发是全公司AI渗透率最高的岗位。以Uber为例，公司自2025年12月起向工程团队推广Claude Code，5000多名工程师中约95%每月使用AI，约11%的后端更新或代码提交由AI智能体生成。渗透率越高，暴露面越大，这是简单的乘法。

【分析二】软件公司AI泄密的四类高危资产，只有第一类被普遍认知

第一类：源代码本身。核心算法、业务规则、风控策略、计费逻辑。这类大家都知道要保护，但真正的漏点在于"片段化外送"——没人会整仓上传，但一天粘十次、每次三十行，一个季度下来核心模块就在外面重建了一遍。泄露不是一次事件，是一个累积过程。

第二类：混在代码里的凭证。数据库连接串、第三方API Key、测试账号密码、内网地址与端口、证书与签名密钥。工程师在排查线上问题时，往往会把整段配置连同报错日志一起贴给模型，因为"删掉了怕复现不出来"。Coupang案的核心是一把密钥，而在多数公司，密钥正躺在被随手粘贴过的代码块里。

第三类：提示词与AI工程资产。这是最容易被漏掉的一类。调教了半年的系统提示词、内部评测集、RAG切分与召回策略、工具编排逻辑、模型路由规则——它们不一定在代码仓库里，可能只存在于某个人的收藏夹和会话历史里。但对一家AI产品公司来说，这些东西的价值不亚于源码，且更容易被整段复制带走。提示词是新的核心资产，却几乎没有企业把它纳入保密清单。

第四类：上下文残留。AI编码助手为了提速，会在本地建立索引、缓存、会话历史。这些数据分散在个人笔记本、个人云盘、第三方工具的服务端。人离职了，公司回收了电脑，但个人云同步、个人账号下的历史会话仍然完整保留着可复原的代码片段。这是传统离职流程完全没有覆盖的盲区。

三、粘贴到公网大模型的一段代码，法律上算不算擅自披露商业秘密

这是研发团队最常见的一句自我安慰："我只是让AI帮我看个bug，又没发给竞争对手，能有什么事？"

2026年7月21日，深圳市中级人民法院、深圳市人民检察院、深圳市市场监督管理局联合发布8件商业秘密保护典型案例，涵盖技术源代码、智能算法、医疗设备技术、客户交易信息等类型。其中两起，正好把上面那句自我安慰拆得干干净净。

第一起：王某、杨某侵犯商业秘密罪案（光明区首宗）。二人原同为某公司光学事业部工程师，均签有保密及竞业限制协议。王某在离职前夕借工作名义申请解密企业核心文件，随后通过内部邮箱发送给已跳槽至竞品公司的杨某。鉴定认定涉案技术信息完全一致，企业直接经济损失153.9万元。两人分别被判处有期徒刑一年两个月，并处罚金15万元。法院同步发出辖区首份商业秘密保护司法建议书。

第二起：黄某侵犯商业秘密案（全市首宗"行刑反向衔接"）。这位工程师私自将公司核心硬件设计图纸拷贝到私人电脑，并在一次商务洽谈中对外展示了涉密文件。检察院认定情节轻微作不起诉处理，但移送市场监管部门追究行政责任，罚款2万元。这起案件确立了一个关键口径：即便未牟利、未促成合作，擅自披露商业秘密同样构成违法。

【分析三】从黄某案到"一次粘贴"：擅自披露的认定推论链

把黄某案的逻辑往AI场景上平移，会得到一条相当不舒服但成立的推论链。

第一环，内部源码通常满足商业秘密的构成要件。按照《反不正当竞争法》与《商业秘密保护规定》确立的规范精神，构成商业秘密需要"不为公众所知悉、具有商业价值、权利人采取了相应保密措施"。一家公司的核心业务代码、风控规则、计费算法，三条基本都能落上。深圳这8件案例明确涵盖技术源代码类型，说明司法实践早已把代码当作标准的秘密载体。

第二环，违法性判断不看动机，看"是否擅自置于失控状态"。黄某没牟利，也没促成任何合作，只是在洽谈中"展示"了一下，结果照样被行政处罚。这一条把"我不是恶意的""我没获利"这两个最常用的辩解直接封死。法律关心的是秘密有没有脱离你的控制，不关心你当时在想什么。

第三环，公网大模型是不受你控制的第三方系统。内容一旦提交，是否被留存、留存多久、是否用于训练、是否可能被人工标注环节审阅，取决于对方的服务条款与工程实现，而不是你的意愿。《生成式人工智能服务管理暂行办法》所确立的服务提供者与使用者责任划分，也从另一侧说明了这层关系的不确定性。按黄某案的口径，"提交给一个你控制不了的第三方"和"在洽谈中展示"，性质上高度相似。

第四环，走了公司流程也未必安全。王某案更值得研发管理者警惕的一点是：他走的是申请解密流程和内部邮箱，全是"合规动作"。今天这套动作的等价物是——用公司统一采购的AI账号、在公司网络里、把整个私有仓库的上下文喂了进去。入口合规，不等于内容合规。

第五环，追责会落到个人头上。王某、杨某各被判有期徒刑一年两个月并处罚金15万元。这意味着"公司扛着就行"的心理预期是错的。对软件公司而言，这一条恰恰是AI红线培训里最该讲清楚的部分——不是吓唬人，是让工程师知道自己在承担什么。

如果你的产品还要出海，压力还要再加一层。欧盟AI Act自2026年8月2日起，相关义务正式进入执法阶段，违规最高可处1500万欧元或全球年营业额3%。对一家把欧洲当增量市场的SaaS公司来说，这不是遥远的立法新闻，而是从这个月开始生效的经营成本。

四、离职风险的AI新变量：账号未回收、API Key未吊销与影子AI

回到Coupang那把密钥。它之所以能用七个月，本质原因只有一个：钥匙走得比人晚。而在AI时代，一个工程师离职时，需要被收回的钥匙比过去多了一整类，且这一类几乎不在任何离职清单上。

变量一：AI工具账号不在离职清单里。HR的离职交接表上有OA、邮箱、VPN、代码仓库、堡垒机，但很少有AI编码助手、模型控制台、向量库、Agent平台。这些工具往往是研发团队自己"先用起来"的，IT甚至不知道它们的存在，自然也谈不上回收。

变量二：API Key散落且无人清点。为了跑通一个Demo，工程师申请一把Key；为了做压测，再申请一把；CI里配一把，本地环境变量里留一把。这些Key的持有者是个人，不是组织。一个人离职，公司拿不出"他名下还有几把Key、分别绑定哪些模型、还有没有在调用"的答案。这就是Coupang剧本在AI侧的完整复刻。

变量三：私有仓库上下文残留在个人环境。本地索引、会话历史、缓存文件、个人云盘同步、第三方工具服务端的历史记录。电脑收回来了，账号还在个人手里；账号封了，本地导出的文件还在。这类残留没有明确的边界，也没有可靠的销毁凭证。

变量四：个人订阅绕过公司网关，也就是影子AI。公司统一采购了入口，但员工嫌额度紧、嫌模型不够新、嫌流程麻烦，于是继续用自己的账号干活。这类使用完全不产生任何企业侧日志。老板以为治理已经落地，实际上被治理的只是那部分本来就守规矩的人。影子AI最危险的地方不在于它不受控，而在于它制造了"已受控"的错觉。

变量五：智能体的长期凭证。越来越多团队让Agent跑定时任务、跑自动化巡检、跑代码审查。这些Agent用的往往是某个具体员工名下的Token。人离开了，任务还在跑，权限还挂在一个已经不属于公司的身份上。

五、AI泄密举证难：没有全链路审计日志，维权会输在证据链上

前面讲的都是"怎么泄"。这一节讲一件更让企业无力的事：泄了之后，你可能连告都告不赢。

侵犯商业秘密维权的第一道门槛是举证。权利人通常要说清楚四件事：秘密点具体是什么、对方有接触的条件或渠道、对方掌握的信息与你的实质相同、你确实采取了相应的保密措施。

王某案之所以能定罪，是因为这四条全都有实物支撑：有解密申请的审批记录，有内部邮箱的发送记录，有鉴定机构"涉案技术信息完全一致"的结论，有保密协议与竞业限制协议。证据链是完整的，链条上每一环都有系统留痕。

现在把场景换成AI：员工用个人账号、在个人设备上、通过公网模型完成了同样的事。企业手里有什么？什么都没有。你无法证明他在什么时间、把哪一段代码、发给了哪个模型。你甚至无法证明这件事发生过——而"发生过"是所有后续主张的前提。

还有一个更隐蔽的反噬："权利人采取了相应保密措施"这一构成要件，本身也需要举证。只有一份签了字的保密协议，在越来越多的案件中被认为不够充分。而"我们部署了统一AI入口、所有模型调用全程留痕、按角色做了分级授权"——这些技术措施本身，就是"采取了保密措施"的有力证明。审计日志的价值不只是抓人，更是证明你自己尽到了义务。

往前一步看，《数据安全法》《个人信息保护法》都要求发生安全事件时及时处置、及时告知。Coupang挨的第二记重拳就是"未在72小时内通知"。而在AI场景下，如果你连"谁在什么时候把什么类型的内容发给了哪个模型"都拉不出清单，通报义务就是一句空话——不是不想说，是真的说不出来。

六、软件公司AI治理落地：统一AI网关收口、全链路审计与账号生命周期管理

前面五节都在拆问题，这一节讲怎么补。逻辑很朴素：先让AI使用变得可见，再让它变得可控，最后让它变得可证。顺序不能反。

第一步，统一AI网关收口，消灭影子AI。通过51API（AI网关）把研发需要的多家大模型统一收拢到一个入口，Key由平台签发、按项目与角色绑定，不再由个人持有。这一步的价值不是限制，而是让"谁在用、用哪个模型、跑了哪些任务"第一次成为可查询的数据。入口不统一，后面所有治理动作都是空转。同时它直接解掉了API Key散落的问题——Key属于组织而非个人，人走即废，不再有"钥匙比人走得晚"。

第二步，全链路审计日志，把证据链先建起来。51Tokens对每一次调用记录使用人、所属团队与项目、目标模型、时间戳、提交内容的类型特征、Token消耗量，形成可检索、可导出、可交叉比对的AI审计台账。它同时服务三个场景：日常发现异常的大体量上下文外送；离职复盘时定位具体调用；诉讼或监管问询时提供可核查记录，并佐证企业"采取了相应保密措施"。这一层是把"我们有规定"变成"我们有记录"的关键。

第三步，分级权限与账号生命周期管理。按角色和项目授予最小必要的模型范围与数据范围：外包与实习生只能触达被明确授权的子集，核心模块的上下文不进入通用工具链。更重要的是把AI账号纳入HR流程——入职开通、调岗调整、离职即时回收，与既有的身份系统联动。Coupang那把密钥的教训，只能靠生命周期管理来解，靠人工记忆一定会漏。

第四步，研发团队AI红线培训。技术能堵住系统的口子，堵不住认知的口子。培训课程要讲的不是"不许用AI"，而是三件具体的事：哪些内容绝对不能进公网模型（凭证、核心算法、客户数据）；什么叫上下文最小化，以及怎么在不牺牲效率的前提下做到；黄某案与王某案意味着什么，个人要承担什么。让工程师看见判决书上的刑期和罚金，比发十份制度通知都管用。

第五步，咨询落地服务。每家软件公司的技术栈、外包结构、出海主体都不同，照搬模板通常水土不服。51AIPro提供的咨询落地服务，按"现状盘点 → 制度与流程设计 → 平台落地 → 度量与迭代"的路径陪跑，把数据分级标准、AI使用审批口径、审计留存周期与企业既有的安全体系打通。

补充一点顺带的收益：在请求侧（输入Prompt与上下文）采用自研保真压缩算法，可在语义不丢、效果不打折的前提下节约30%-70%的请求侧Token消耗。对研发团队而言，这既是成本上的AI省钱，也意味着每次外送的上下文体量被实质收敛——降本和收缩暴露面，方向恰好是一致的。

七、能力边界的诚实说明：AI侧治理层与实时拦截的NEXT规划

关于与既有安全体系的关系。51AIPro的治理方案不替代企业已有的DLP与SIEM，而是与之协同的AI侧治理层：DLP管的是文件与终端出口，SIEM管的是全域日志关联，而模型调用这条链路是它们的传统覆盖盲区。三者应当协同部署，而不是互相替换。

关于实时拦截与在线审批。在调用发生的瞬间完成敏感内容实时拦截与人工审批，属于策略引擎能力，是51AIPro的NEXT阶段规划。当前不提供、也不暗示具备此类实时自动拦截或在线审批能力。本文所述的敏感内容识别与提示、审计留痕、分级授权，均为治理前置的策略配置与可观测能力，请勿理解为运行时的自动阻断。

关于产品定位。51Tokens是AI全流程治理管控平台，聚焦AI使用侧的可见、可控、可证，不是通用GRC系统。后续将推出的AI治理大模型为治理专用、非通用大模型，尚未上线，正式发布前不做任何提前宣称。

特别声明：任何治理工具都不承诺100%合规。软件公司仍需结合保密制度、竞业与保密协议、代码分级、法律手段共同构建防线，平台能力解决的是"看得见、说得清、留得下"这一层。

八、写在最后：软件公司的AI合规红线，是一条可以被管理的线

回看这三起案例——Coupang的4.08亿美元、王某杨某的一年两个月刑期与153.9万元损失、黄某的2万元罚款——没有一起是因为"用了AI"才发生的。

它们的共同根因只有一条：资产在流动，而组织看不见。密钥在流动，代码在流动，上下文在流动，而没有任何一套系统在记录这些流动。

AI只是把这种不可观测状态放大了。过去要偷走一个模块，得写脚本、拷文件、找渠道，动作大、痕迹多；现在只需要三十秒和一次粘贴，效率高十倍，留下的痕迹却比过去更少。

所以对软件公司来说，这条红线本质上不是一份"不许做什么"的清单，而是一种"能不能说清楚"的能力。能说清谁在用、用了哪个模型、送出了什么类型的内容、离职时有没有全部收回，红线就是可管理的；说不清，红线就在脚下，随时可能亮起。

今日互动

① 你们公司上一位离职的工程师，名下的AI账号和API Key，全部吊销了吗？
② 如果明天要举证"某段核心代码曾被提交给外部模型"，你能在多久内拉出完整调用记录？
③ 研发用AI这件事，你更倾向于禁止、提醒，还是纳入AI考核？

文／51aipro.com

AI省钱，让研发团队把预算花在真正提升交付效率的调用上；AI合规，让这份效率不会被一纸罚单或一份判决书清零；而AI考核，是把治理从墙上的制度变成研发的指标、让每一次模型调用都有人负责的指挥棒。三词一体，才是软件公司穿越这轮AI合规大考的真正答卷。