באבטחה, הבינה המלאכותית נמצאת עכשיו בשני הצדדים
תוקפים משבטים קולות וכותבים פישינג מושלם בעזרת בינה מלאכותית. חברות מוסרות לסוכנים את המפתחות למערכות שלהן. מה השתבש, ומה מחזיק.
בינואר 2026 דיווחה המשטרה הקנטונלית של Schwyz על מקרה שלפני כמה שנים היה נשמע כמו סיפור בדיוני. במשך שבועיים התקשרו עבריינים לבעלים של חברה מקומית והתחזו לשותף עסקי שהכיר, בקול שעבר מניפולציה בבינה מלאכותית. בחסות עסקה בינלאומית חסויה, הוא ביצע כמה העברות בשווי של כמה מיליוני פרנקים לחשבון באסיה. ההונאה התגלתה רק אחרי שהכסף כבר נעלם.
זה צד אחד של האבטחה היום: תוקפים שמשתמשים בבינה מלאכותית. הצד השני נמצא בתוך החברה, שבה סוכנים קוראים מיילים, מחזיקים מפתחות ושולחים דברים החוצה. חברה צריכה להתכונן לשניהם. אנחנו בונים סוכנים לעבודה שלנו וללקוחות, כך שאף אחד מהצדדים אינו תיאורטי עבורנו.
קול מוכר
המקרה מ־Schwyz אינו יחיד. בפברואר 2025 דיווחה Reuters שנוכלים שיבטו את הקול של שר ההגנה של איטליה, גואידו קרוזטו, כדי לבקש מבכירים בעולם העסקים כסף לשחרור עיתונאים חטופים. מאסימו מוראטי, הבעלים לשעבר של אינטר מילאנו, שלח כמעט מיליון אירו לפני שהמשטרה איתרה את הכסף בחשבון בהולנד והקפיאה אותו.
ה־FBI סופר היום מקרים כאלה בנפרד. הדוח שלו על פשיעת אינטרנט ב־2025 מונה יותר מ־22,000 תלונות שהזכירו בינה מלאכותית, עם הפסדים מתוקננים של יותר מ־893 מיליון דולר, ומציין שקורבנות רבים לא מבינים עד כמה הייתה מעורבת בינה מלאכותית. עסקים הפסידו יותר מ־30 מיליון דולר בהונאות מייל עם רכיב של AI, שבהן הודעה משכנעת או קול משובט מבקשים תשלום. הלשכה מתארת גם ראיונות עבודה שנערכו בקולות מזויפים, אולי דיפפייקים, בדרך כלל כדי להשיג גישה לרשת של חברה.
פישינג בלי שגיאות כתיב
גם המתקפות הכתובות השתנו באותה מידה. Digital Defense Report 2025 של Microsoft מצא שעל מיילים של פישינג שעברו אוטומציה בבינה מלאכותית לחצו ב־54 אחוזים מהמקרים, לעומת 12 אחוזים במיילים רגילים. ENISA, סוכנות הסייבר של האיחוד האירופי, כתבה באוקטובר 2025 שלפי הדיווחים, פישינג בסיוע AI היווה עד תחילת 2025 יותר מ־80 אחוזים מפעילות ההנדסה החברתית שנצפתה בעולם.
תוקפים משתמשים בבינה מלאכותית גם לפריצה עצמה. בנובמבר 2025 דיווחה Anthropic על קמפיין שייחסה ברמת ודאות גבוהה לקבוצה סינית במימון מדינתי, שהשתמשה ב־Claude Code נגד כשלושים ארגונים ונתנה לבינה המלאכותית לבצע 80 עד 90 אחוזים מהעבודה. הוא הצליח במספר קטן של מקרים. הסיכום של OWASP לרבעון הראשון של 2026 מוסיף פריצה לסוכנויות ממשלתיות במקסיקו, שבה התוקפים השתמשו לפי הדיווחים ב־Claude ולעיתים גם ב־ChatGPT.
סימני האזהרה הישנים, משפט מגושם או קול מוזר, כבר לא עובדים. האמון צריך לבוא מהתהליך, לא מהחושים.
מילים שפועלות
בתוך החברה, לסיכון יש צורה אחרת. צ׳אטבוט שנותן תשובה שגויה הוא מבוכה. סוכן שמבצע פעולה שגויה הוא אירוע אבטחה. נקודת התורפה המרכזית היא הזרקת פרומפטים (prompt injection), הראשונה ברשימת הסיכונים של OWASP לשנת 2025 עבור אפליקציות שנבנו על מודלי שפה: הוראות שמוסתרות בדף אינטרנט, בקובץ או במייל, שהמודל קורא ומבצע.
המרכז הלאומי לאבטחת סייבר של בריטניה (NCSC) הסביר בדצמבר 2025 למה היא כל כך עקשנית. מודלי שפה לא אוכפים גבול בין הוראות לנתונים, ולכן ייתכן שלעולם לא יהיה אפשר לנטרל הזרקת פרומפטים לגמרי, כמו שנוטרלה הזרקת SQL. העבודה היא לצמצם את הסיכון ואת ההשפעה שלו. המפתח סיימון וויליסון הגדיר ביוני 2025 את התערובת המסוכנת: נתונים פרטיים, תוכן לא אמין ודרך לתקשר החוצה. סוכן שיש לו את שלושתם יכול לקבל מטקסט של זר הוראה לשלוח את הנתונים שלכם החוצה.
סוכנים עם מפתחות
אירועים אמיתיים הולכים לפי הדפוס הזה. ביוני 2025 הראתה Aim Labs שאפשר לגרום ל־Microsoft 365 Copilot להדליף נתונים פנימיים באמצעות מייל אחד, בלי שום לחיצה מצד הקורבן. Microsoft כבר תיקנה את הפרצה ולא מצאה עדות לניצול. באוגוסט 2026 פרסמה Varonis את CoSnitch, שרשרת של פגמים ב־Copilot Personal. קישור מתוכנן אחד הריץ פרומפט של התוקף בסשן של הקורבן, השתמש בחיבורים שלו ל־Gmail, ל־Google Drive, ל־Google Calendar ול־OneDrive, ושלח את התוצאות החוצה דרך הפיצ׳ר של Copilot עצמו לאחזור דפי אינטרנט. הוראות שהושתלו שרדו בזיכרון שלו גם אחרי החלפת סיסמה. ההנחה השבורה, כתבו החוקרים, הייתה שכל קריאה למחבר מגיעה מהמשתמש.
מחברים הם ספקים, עם הסיכונים של ספק. בספטמבר 2025, חבילה במאגר npm שהתחזתה לשרת ה־MCP של שירות המייל Postmark פרסמה חמש עשרה גרסאות נקיות, ואז הוסיפה שורה אחת שהעתיקה כל מייל יוצא לתוקף. היו לה כ־1,500 הורדות בשבוע כש־Koi Security סימנה אותה.
רשימת ה־Top 10 של OWASP לאפליקציות סוכניות, שפורסמה בדצמבר 2025, מונה עכשיו את הסיכונים האלה, מחטיפת מטרה ושימוש לרעה בכלים ועד זיכרון מורעל וסוכנים סוררים. הסיכום שלה לרבעון השלישי של 2026 מוסיף נקודה מפוכחת: סוכנים יכולים לגרום נזק פשוט כשהם רודפים אחרי המשימה שקיבלו, והרשאות עודפות הופכות כשל קטן לכשל גדול. הוראות בפרומפט אינן יוצרות, כשלעצמן, גבול מאובטח.
הגנות שמחזיקות
להגנות שעובדות בשני הצדדים יש רעיון משותף אחד. הן לא סומכות על אף אחד, אדם או מודל, שיזהה את התרגיל ברגע האמת. הן מגבילות את מה שאדם שהוטעה או סוכן שהוטעה יכולים לעשות.
לגבי אנשים, משטרת Schwyz מונה את מה שעוזר: לאמת כל תשלום דחוף או חריג דרך ערוץ שני ובלתי תלוי, להחיל עיקרון של ארבע עיניים על סכומים גדולים, ולא לבצע שום העברה לחו״ל בלי אישור מתועד.
לגבי סוכנים, תנו לכל אחד את הגישה המצומצמת ביותר שהתפקיד שלו דורש. כשמודל קורא תוכן מגורם כלשהו, אומר ה־NCSC, ההרשאות שלו צריכות לרדת לרמת ההרשאות של אותו גורם. שברו את השילוש. שימו שליחה, תשלום, פרסום ומחיקה מאחורי שער שהמודל לא יכול לעבור בכוח שכנוע. הריצו כל פעולת כתיבה תחת הזהות של האדם שביקש אותה, הרחיקו את פרטי הגישה, התייחסו לכל מחבר כמו לספק חדש, ותעדו מה הסוכן עשה, לא רק מה הוא אמר.
בינה מלאכותית יכולה לקחת על עצמה את הבדיקות השגרתיות ואת הקריאה. מה שנשאר אנושי הוא העצירה כשבקשה מרגישה לא נכונה, שיקול הדעת להתקשר בחזרה, והאחריות של מי שחותם.
איך אנחנו בונים את שלנו
Kontor, המחבר שלנו ל־bexio, הוא שרת MCP מאוחסן, כך שאף מפתח לא יושב על מחשב נייד, וכל אדם מתחבר עם פרטי הכניסה שלו. שליחה, תשלומים ותזכורות בכלל לא זמינים לעוזר. Twin מחיל את אותם כללים על החברה כולה: גישה לפי תפקיד, כל פעולת כתיבה מאומתת לפי משתמש, וכל צעד מתועד.
כשהנתונים קריטיים מכדי לאפשר חיבור חיצוני כלשהו, יש את Eigna, שנבנתה בידי השותפה שלנו Eigna Labs: מודל פרטי לכל חברה, בענן שלה או על השרתים שלה, שתוכנן לפעול במנותק לחלוטין ברשתות סגורות ואומן לסרב לפריצות ולמתקפות. ו־Timbre, המוצר שלנו לעוזרים קוליים ולשיבוטי קול, משבט קול רק בהסכמת הדובר.
חברה יכולה להתחיל השבוע. קבעו כלל של התקשרות חוזרת לכל בקשת תשלום, אמרו לכל צוות שקול מוכר כבר אינו הוכחה, רשמו כל סוכן וכל מחבר עם הגישה שיש להם, והסירו את מה שהם לא צריכים.
