Jak AI może przeszukać pliki w Dropbox i Box i wyłapać, co Wasza firma udostępniła na zewnątrz?

Tak, AI można podpiąć do Dropbox Business i Box przez ich REST API i od razu dostać coś konkretnego: listę plików z metadanymi, historię kto co zmienił, a przede wszystkim pełen raport publicznych linków do dokumentów w firmowych folderach. Nie trzeba do tego pisać systemu od zera. Obydwa narzędzia mają dobrze udokumentowane API i mechanizm tokenów OAuth, które pozwalają czytać pliki, przeszukiwać treść i audytować udostępnienia bez ręcznego przeglądania każdego folderu.

Co macie w chmurze, zanim w ogóle podepniecie AI

Dropbox Business i Box to nie tylko miejsce na pliki. Obydwa systemy trzymają warstwy danych, do których rzadko zagląda się na co dzień, a które mówią sporo o tym, jak firma pracuje z dokumentami.

W Dropbox Business każdy plik ma pole modified_by (kto ostatnio edytował), server_modified (data modyfikacji na serwerze) i historię wersji do 180 dni na planach Business i wyżej. Foldery zespołowe (Shared Folders) mają listę członków z rolami: viewer (może tylko czytać), editor (może edytować), owner. Każdy link udostępniający plik ma pole link_permissions z informacją, czy to link publiczny dostępny dla każdego, kto go dostanie, czy chroniony hasłem, czy tylko dla osób z zaproszeniem.

Box działa podobnie, ale mocniej rozgranicza uprawnienia na poziomie folderów. Każdy folder ma właściciela (Owner), współwłaściciela (Co-owner), edytora (Editor), widzącego (Viewer) i kilka poziomów pośrednich. Logi aktywności (Event Stream) zapisują każde zdarzenie: pobranie, edycję, zmianę uprawnień, utworzenie linku, zaproszenie zewnętrznego użytkownika.

I tu właśnie jest materiał, który AI może przerobić na coś użytecznego. Firma wgrywa umowy, oferty, cenniki, faktury, dokumenty HR, korespondencję z klientami, a potem nikt nie sprawdza, kto ma dostęp i co ktoś pół roku temu udostępnił na zewnątrz.

Jak fizycznie wygląda połączenie: API Dropboxa i Boxa

Obydwa systemy mają REST API ze standardowym uwierzytelnianiem przez OAuth 2.0. To znaczy: rejestrujecie aplikację w panelu deweloperskim, dostajecie klucze (App Key i App Secret), a potem użytkownik albo administrator firmy autoryzuje dostęp jednym kliknięciem. Po tym AI dostaje token, z którym może wywoływać kolejne endpointy.

W Dropbox Business kluczowe endpointy to:

• files/list_folder: wylistowanie zawartości folderu z metadanymi, rekurencyjnie przez całe drzewo
• files/search_v2: wyszukiwanie pełnotekstowe po treści pliku, nie tylko nazwie
• sharing/list_shared_links: lista wszystkich linków udostępniających w całym koncie zespołu
• team_log/get_events: log zdarzeń na poziomie całego zespołu, kto co zrobił i kiedy
• files/list_revisions: historia wersji konkretnego pliku z datami i autorami

W przypadku Dropbox Business potrzebujecie tokenu zespołowego (Team access token) albo uprawnień admina, żeby widzieć foldery wszystkich użytkowników. Bez tego AI widzi tylko to, co należy do konkretnego konta. Aplikację rejestruje się na stronie Dropbox App Console, a zakres dostępu (scopes) ustawia się przy rejestracji: wystarczy files.metadata.read i files.content.read, żeby AI czytało, ale nic nie zmieniało.

Box używa dwóch modeli uwierzytelniania. Dla automatycznych połączeń bez interakcji użytkownika, na przykład nocnego audytu, najlepsza jest aplikacja JWT (JSON Web Token): administrator firmy zatwierdza ją w Box Admin Console, a system działa na koncie serwisowym. OAuth 2.0 sprawdza się, gdy chcecie, żeby każdy pracownik logował się własnym kontem. Box ma też API do logów: GET /events ze strumieniem zdarzeń i filtrem po typie zdarzenia, na przykład SHARE, UPLOAD, EDIT, DELETE.

Czego producenci nie udostępniają: Dropbox nie daje dostępu do miniatur wewnętrznych w standardowym API dla mniejszych planów. Box w niższych planach ogranicza dostęp do niektórych typów zdarzeń w Event Stream. Żaden z systemów nie daje API do kosza z nieograniczoną historią bez wyższego planu, więc pliki usunięte dawno temu mogą być poza zasięgiem. Jedno i drugie warto sprawdzić przy wyborze planu, zanim zaczniecie integrację.

Co AI widzi z listy plików i historii zmian

Kiedy AI dostanie dostęp do API, pierwszą rzeczą jest zebranie listy plików z metadanymi. To nie brzmi imponująco, ale w praktyce mówi sporo.

Typowo wygląda to tak: AI wylistowuje całe drzewo folderów, zbiera nazwy, ścieżki, daty modyfikacji i pola modified_by. Z tego da się od razu zbudować raport: które foldery były aktywne w ostatnim miesiącu, które pliki nie były tykane od ponad roku, kto jest autorem większości zmian w folderze „Oferty 2024".

U jednego klienta okazało się, że cennik handlowy, który wszyscy uważali za aktualny, miał pole server_modified z datą sprzed 14 miesięcy. Nikt nie zauważył, bo plik nazywał się „Cennik AKTUALNY.xlsx" i nikt nie sprawdzał metadanych. AI po przejściu przez cały folder sprzedażowy wyłapało to przy pierwszym uruchomieniu.

Historia wersji daje jeszcze więcej. Endpoint files/list_revisions w Dropboxie zwraca wszystkie zapisane wersje z datami i autorami. AI może sprawdzić, czy dokument był zmieniany przez wiele osób w krótkim czasie, co może wskazywać na nieskoordynowane edycje, albo wyciągnąć, kto jako ostatni zmieniał treść umowy przed wysłaniem do klienta. W Box ta sama informacja jest dostępna przez endpoint GET /files/{id}/versions.

Publiczne linki do wrażliwych plików: gdzie kryje się ryzyko

To jest temat, który warto potraktować poważnie, bo tu wyłapujemy najczęstszy problem przy wdrożeniach.

Zarówno Dropbox, jak i Box pozwalają tworzyć linki do plików, które działają bez logowania. Wystarczy mieć link i można pobrać plik. To wygodne do wysyłania materiałów klientom, ale nikt potem nie sprawdza, które linki nadal żyją i do czego prowadzą.

API Dropboxa (sharing/list_shared_links) zwraca dla każdego linku między innymi pole visibility: PUBLIC (każdy, kto ma link), TEAM_ONLY (tylko osoby z domeny firmy) albo PASSWORD (chroniony hasłem). Zwraca też pole expires, jeśli link ma ustawioną datę wygaśnięcia, albo puste, jeśli wygasa nigdy.

AI przechodzi przez tę listę i sprawdza ścieżki plików pod kątem słów kluczowych: „umowa", „kontrakt", „oferta", „cennik", „wynagrodzenie", „RODO", „KRS", „NDA", „poufne". Gdy znajdzie plik z visibility: PUBLIC i ścieżką zawierającą te frazy, trafia do raportu.

W praktyce firmy, które korzystają z Dropboxa od kilku lat, mają zwykle kilkadziesiąt takich linków. Część z nich stworzyli pracownicy, którzy już nie pracują. Część prowadzi do ofert wysłanych klientom, którzy w międzyczasie stali się konkurencją. Jedna firma znalazła tak publiczny link do dokumentu z listą płac z 2021 roku, który ktoś udostępnił zewnętrznej kadrowej i po prostu zapomniał wyłączyć.

Box oferuje podobne możliwości przez GET /files/{id}/shared_link i strumień zdarzeń z typem zdarzenia SHARE. Event Stream pozwala też zobaczyć, kiedy link był ostatnio klikany i przez kogo, jeśli ta osoba była zalogowana w Box. To informacja, której Dropbox w standardowym API nie daje.

AI streszcza dokumenty z folderu: umowy, oferty, cenniki

Poza audytem metadanych AI może też czytać treść plików. Dropbox API pozwala pobrać zawartość pliku przez files/download, Box przez GET /files/{id}/content. Pliki w formacie DOCX, PDF, XLSX trafiają do AI, które przetwarza je i wyciąga to, o co firma prosi.

Najczęstsze zastosowania, które sprawdzają się w praktyce:

• Streszczenie umów z folderu: AI przechodzi przez folder „Umowy z dostawcami", dla każdego pliku wyciąga strony, daty obowiązywania, okresy wypowiedzenia i kary umowne, a wynik zapisuje do arkusza albo pliku zbiorczego.
• Porównanie ofert: folder „Oferty otrzymane" albo „Przetargi": AI czyta każdą ofertę i układa tabelę porównawczą zakresu, terminów i warunków płatności.
• Sprawdzenie dat ważności: NDA i umowy o zachowaniu poufności często mają zapisaną datę końca obowiązywania. AI wyciąga te daty i zestawia z dzisiejszą datą, zamiast czekać, aż ktoś sam trafi na przeterminowany dokument.
• Wykrywanie duplikatów treści: pliki o różnych nazwach, ale prawie identycznej zawartości. Typowy przypadek: „Oferta_XYZ_final.docx", „Oferta_XYZ_final_v2.docx", „Oferta_XYZ_OSTATECZNA_do_wysyłki.docx" w trzech różnych folderach i nikt nie wie, która wersja poszła do klienta.

Przy plikach XLSX z cenników AI czyta zawartość arkuszy przez API i może szybko odpowiedzieć, czy w trzech folderach sprzedażowych jest ten sam cennik w trzech różnych wersjach z różnymi datami modyfikacji. Bez AI takie sprawdzenie wymaga ręcznego otwierania każdego pliku.

Ważna uwaga: AI nie czyta plików, których nie pobierze. Dropbox Business API pozwala pobierać pliki do 150 MB na jedno żądanie. Pliki większe wymagają pobierania w częściach. PDF-y ze skanów bez OCR to dla AI czysta grafika: albo trzeba do nich dodać warstwę OCR, albo AI nie wyciągnie z nich tekstu.

Nazwy i duplikaty: z tym większość firm nie ma kiedy się zmierzyć

Foldery w Dropboxie i Boxie wyglądają w większości firm tak samo. Warstwy podfolderów z datami w nazwach, pliki kończące się „v2", „final", „do wysyłki", „kopia", „kopia (1)". Nikt nad tym nie panuje, bo nikt nie ma czasu.

AI po dostaniu listy plików może zaproponować znormalizowane nazwy według schematu przyjętego przez firmę: typ dokumentu, klient albo projekt, data, wersja. Schemat ustalacie sami, AI stosuje go mechanicznie do całej listy i przygotowuje propozycje zmian do akceptacji, zanim cokolwiek zostanie przemianowane. Nikt nie budzi się rano z odkryciem, że coś zniknęło.

Duplikaty wykrywa się na dwa sposoby. Prostszy: porównanie hashy plików. Dropbox zwraca pole content_hash dla każdego pliku. Dwa pliki z identycznym content_hash to ten sam plik pod różnymi nazwami lub w różnych folderach. Trudniejszy przypadek: pliki podobne, ale nie identyczne, bo ktoś otworzył, zmienił czcionkę i zapisał jako nową wersję. Tu AI musi czytać treść i porównywać fragmenty.

Od czego zaczyna się taka integracja

Praktycznie każde wdrożenie, które robiliśmy, wyglądało podobnie. Nie od razu rzucamy się na całą chmurę firmy.

• Krok 1: rejestracja aplikacji w Dropbox App Console albo Box Developer Console, ustawienie zakresów na odczyt (read-only), żeby AI nie miało możliwości zmieniania plików. To trwa kilkanaście minut.
• Krok 2: ustalenie, które foldery AI ma przeszukiwać. Zacznijcie od jednego folderu, na przykład „Umowy z klientami" albo „Oferty 2024", nie od całego konta.
• Krok 3: pierwsze uruchomienie audytu publicznych linków. To daje wynik od razu i jest najłatwiej uzasadnić, dlaczego warto to robić.
• Krok 4: dopiero po audycie decyzja, co AI ma czytać: same metadane, treść dokumentów, czy obydwa. Treść to więcej czasu i zasobów, więc warto zaczepić się o konkretny cel.

Integracja przez API nie wymaga instalowania niczego na komputerach pracowników. Wszystko działa po stronie serwera, a Wasza chmura Dropbox ani Box nie zmienia się. Pracownicy dalej korzystają z Dropboxa tak jak dotąd. Jedyna zmiana: firma zaczyna widzieć to, co dotąd leżało w metadanych i logach bez żadnego odbiorcy.

Jeśli chcecie zobaczyć, jak taki audyt wygląda na Waszych plikach, zapraszamy na 15 minut rozmowy. Możecie też zajrzeć do realnych wdrożeń, żeby zobaczyć, jak podobne podłączenia działają u innych firm.