סוכני AI כבר אינם רק חלון צ'אט שמציע תשובה. כאשר מחברים אותם לדואר, קבצים, מערכות ענן, כלי פיתוח וממשקי API, הם יכולים לקרוא מידע ולבצע פעולות בשם המשתמש. בדיוק בנקודה הזאת יכולת מועילה הופכת גם למשטח תקיפה חדש.
דמיס הסביס, ממייסדי Google DeepMind ומכהן כיו"ר החברה, הגדיר ב־14 באוקטובר 2026 מתקפות שביצעו סוכני AI כ"יריות אזהרה מוקדמות". בשיחה שדווחה ברויטרס הוא הזהיר כי ללא עבודה נוספת, אירועים משמעותיים יותר עלולים להתרחש כבר בשנה הקרובה או בשנים הקרובות. זו אינה תחזית למתקפה מסוימת, אלא אזהרה לגבי קצב התפתחות היכולות מול קצב הטמעת ההגנות.
מה הופך סוכן AI למסוכן יותר מצ'אטבוט?
הבדל מרכזי הוא הרשאה לפעול. צ'אטבוט שמייצר טקסט עלול לטעות; סוכן שמחובר למערכת ארגונית עלול גם למחוק קובץ, לשלוח הודעה, להפעיל תהליך או להעביר מידע למערכת אחרת. אם תוקף מצליח להשפיע על ההוראות שהסוכן קורא — למשל באמצעות הזרקת הנחיות נסתרת במסמך או באתר — הוא עשוי לנסות להסיט את הסוכן מהמטרה המקורית.
הבעיה אינה תיאורטית בלבד. ארגונים כבר חוקרים תרחישים שבהם סוכנים מנוצלים לביצוע שרשרת פעולות. גם מחקר על תולעי AI במכשירי IoT מדגים מדוע אוטונומיה, חיבוריות והרשאות מחייבות תכנון אבטחה שונה מזה של כלי תוכנה רגיל.
Google מעדכנת את מסגרת האבטחה
Google פרסמה את SAIF 2.0 — עדכון למסגרת Secure AI Framework — עם דגש על סיכונים ייחודיים לסוכנים. החברה מדגישה נושאים כמו זהות והרשאות של סוכן, הגבלת פעולות, הגנה מפני הוראות זדוניות, ניטור ושימוש בבדיקות אבטחה ייעודיות. במקביל היא מפעילה תוכנית תגמול לדיווח על חולשות AI.
Google גם חשפה את Project PageBreak, פרויקט פנימי המדגים כיצד סוכני AI יכולים לזהות ולנצל חולשות ברכיבי תוכנה בתנאי מחקר. המשמעות הארגונית אינה שכל סוכן הוא כלי תקיפה, אלא שהיכולת לבצע רצף של גילוי, תכנון ופעולה משתפרת — ולכן בקרות הגישה חייבות להתאים לקצב הזה.
שש בקרות שלא כדאי לדחות
מניסיוני בעולמות IT, ענן וסייבר, הכלל החשוב ביותר הוא לא לתת לסוכן יותר סמכות ממה שנדרש למשימה. בפועל, ארגונים צריכים להתחיל בשש שכבות בסיס:
- הרשאות מינימליות: חשבון הסוכן צריך לקבל רק את הגישה הנדרשת, ורצוי לזמן מוגבל. אין סיבה שסוכן שקורא מסמכים יקבל הרשאת מחיקה או ניהול משתמשים.
- אישור אנושי לפעולות רגישות: שליחת תשלום, שינוי הרשאה, מחיקה, פרסום חיצוני או הפעלת קוד צריכים לעבור נקודת אישור ברורה.
- בידוד סביבת העבודה: הרצת קוד או פתיחת קבצים לא מוכרים צריכות להתבצע בסביבה מבודדת, עם מגבלות רשת וקבצים.
- לוגים וניטור בזמן אמת: יש לתעד אילו כלים הופעלו, איזה מידע נקרא ומה השתנה. בלי יומן פעולה קשה להבין אירוע ולתחקר אותו.
- יכולת עצירה וביטול אסימונים: הארגון צריך לדעת לעצור סוכן במהירות, לבטל מפתחות גישה ולנתק אינטגרציות במקרה של התנהגות חריגה.
- בדיקות תקיפה ייעודיות: חשוב לבדוק הזרקת הנחיות, דליפת מידע, עקיפת הרשאות ושימוש לרעה בכלי הסוכן לפני מעבר לייצור.
בקרות אלה מתחברות גם לאזהרות של רגולטורים פיננסיים לגבי סיכוני סייבר במערכות Agentic AI: האחריות הארגונית אינה נעלמת משום שהפעולה בוצעה על ידי מודל.
תקן בינלאומי — אבל לא במקום אחריות מקומית
הסביס קרא להקמת גוף תקינה בינלאומי ולמערך הסמכה שמידתו תותאם לרמת הסיכון. באותו דיווח, נשיא Microsoft בראד סמית' תיאר את 2026 כשנה "מפכחת" וקרא לחוקי בטיחות מאוזנים. תקינה יכולה ליצור שפה משותפת, אך היא לא תחליף ניהול זהויות, סיווג מידע, הפרדת תפקידים ובדיקות אבטחה בתוך הארגון.
השורה התחתונה
סוכני AI יכולים לחסוך זמן ולהפוך תהליכים מורכבים לאוטומטיים, אך הרשאה לפעול מגדילה גם את הנזק האפשרי מטעות או מתקיפה. ארגון שמתחיל בפיילוט קטן, בהרשאות צרות, באישור אנושי ובלוגים מלאים יוכל ללמוד את הטכנולוגיה בלי להפקיד בידיה שליטה בלתי מוגבלת. אין הגנה מוחלטת, אבל יש הבדל גדול בין ניסוי מבוקר לבין סוכן שמקבל מפתחות לכל המערכות.
מקורות: Reuters, 14 באוקטובר 2026; Google — SAIF 2.0; Google Project PageBreak.
צילום: Michael Geiger / Unsplash, ברישיון Unsplash.
