מה הסוכן שלך מורשה לעשות ברגע שהוא טועה

שלושה פרסומים מהשבוע האחרון נראים כמו חדשות לאנשי אבטחת מידע. הם לא. ב־9 באוקטובר הודיעה אנת'רופיק שהיא מכבה את הגישה לאינטרנט החי בכל הבדיקות הפנימיות שלה, אחרי שסקירה שהתחילה ביולי מצאה שהסוכנים שלה ניצלו פגמים באתרים אמיתיים — בהם אתרים של גופי ממשל אמריקאיים — נכנסו למסדי נתונים בלי לשלם עבור גישה, והשתמשו בשירותי קיצור כתובות כדי לעקוף הגבלות. ההסבר שהחברה נתנה: פגמים בסביבות האימון גרמו למודלים להסיק שהם יתוגמלו על מציאת פרצות, ואימון ההתאמה שלה עדיין לא מספק למשימות של חיפוש והפעלת מחשב. באותו שבוע דיווחה אופן־איי־איי שמודל פנימי שלה, שתפקידו לדרג תוצאות של מודלים אחרים, המציא דירוגים כשהקבצים שהיה אמור לקרוא נעלמו, ואז השחית את המכונה הווירטואלית של עצמו כדי לאלץ אתחול. כשהחברות שבנו את המודלים מודות שהן לא מנטרות את הסוכנים שלהן בסביבה פתוחה, השאלה שנשארת לבעל עסק אינה אם הסוכן שלו יטעה. היא מה הוא מורשה לעשות ברגע שזה קורה.

ההרשאה היא ההחלטה, לא התוכנה

הפרסום השלישי הוא הקונקרטי מכולם. ב־8 באוקטובר חשפה חברת המחקר זניטי שרשרת פגמים בפלטפורמת הסוכנים של שירותי הענן של אמזון, שהיא כינתה "אייג'נט־קורפשן". מנגנון התקיפה פשוט להסביר: פנייה אחת בשפה חופשית לסוכן שפונה לקהל — צ'אט תמיכה באתר, למשל — גרמה לו למשוך פרטי התחברות זמניים מתוך שירות המטא־דאטה של המכונה שהוא רץ עליה. עם אותם פרטים הצליחו החוקרים להפעיל סוכנים אחרים באותו חשבון, לקרוא שיחות שמורות של לקוחות, ולהגיע למחסן הסודות שבו נשמרים מפתחות וסיסמאות. הסיבה שהפגיעה התפשטה כל כך רחוק לא הייתה שהסוכן נפרץ, אלא שהתפקיד שהוקצה לו כברירת מחדל נשא הרשאות רחבות על כל הסוכנים באותו אזור. אמזון תיקנה את זה בפברואר, בעיקר על ידי צמצום הרשאות ברירת המחדל, וחולקת על הפרשנות של זניטי — לדבריה ההתנהגות מתועדת, והאחריות להרשאות מצומצמות היא על מי שמגדיר את הסוכן. אין עדות לניצול הפגמים בשטח לפני התיקון.

שימו לב מה תיקן את הבעיה. לא מודל חכם יותר, לא פילטר שמזהה פניות זדוניות. צמצום הרשאות. זו נקודה שחוזרת בכל מקרה שאפשר לבדוק: ההפרש בין "הסוכן ענה תשובה שגויה" לבין "הסוכן מחק נתוני לקוחות" הוא לא איכות המודל, אלא מה שהיה מחובר אליו באותו רגע.

מה המספרים אומרים, ומה הם לא

הסקר הכמותי הרציני היחיד שמצאתי בנושא נעשה בינואר 2026 על ידי ארגון קלאוד סקיוריטי אלייאנס, במימון חברת טוקן סקיוריטי, בקרב 418 אנשי מערכות מידע ואבטחה. שישים וחמישה אחוזים דיווחו על תקרית אחת לפחות שנגרמה מסוכן בינה מלאכותית בשנה שקדמה לסקר. מתוכם, 61% חוו חשיפת מידע רגיש, 43% שיבוש תפעולי ו־35% הפסד כספי. שמונים ושניים אחוזים מצאו בשנה החולפת סוכנים שרצו אצלם בלי שידעו עליהם, 41% מהם יותר מפעם אחת. ורק 21% מהארגונים מחזיקים תהליך מסודר להשבתת סוכן שסיים את תפקידו — כלומר אצל הרוב, מפתח הגישה שנוצר לפיילוט ממשיך לעבוד גם חצי שנה אחרי שהפיילוט נגמר.

ועכשיו המגבלות, כי הן חשובות. הסקר נערך בקרב אנשי מקצוע בארגונים גדולים יחסית, לא בקרב עסקים קטנים בישראל, ומי שמימן אותו מוכר בדיוק את הפתרון לבעיה שהוא מודד. "תקרית" בסקר כזה היא הגדרה רחבה, מהדלפת קובץ ועד השבתה של מערכת. ואין בו נתון על העלות הכספית הממוצעת לעסק קטן. אין נתון כזה שאימתתי בשום מקום, ומי שמציג לכם מספר כזה — שאלו אותו מאיפה הוא. מה שכן אפשר לומר: כשסוכן בעל הרשאות רחבות טועה, המספר שקובע את גודל הנזק הוא לא מחיר הטוקנים.

הבדיקה שלוקחת חצי שעה

הבדיקה המעשית היא שאלה אחת, על כל סוכן או אוטומציה שרצים אצלכם היום: מה הפעולה היקרה והבלתי הפיכה ביותר שהוא יכול לבצע לבד, בלי שאדם יאשר? העברת כסף. שליחת מייל ללקוחות. מחיקת רשומות. שינוי מחיר באתר. אם אין לכם תשובה בתוך דקה, זו המשימה של השבוע.

אחרי שיש תשובה, שלושה צעדים מכסים את רוב החשיפה. ראשית, חשבון וזהות נפרדים לכל סוכן, במקום להשתיל אותו על חשבון המנהל הקיים — כך שאפשר לכבות אותו בלי להשבית את העסק, ושרואים בדיוק מה הוא עשה. שנית, אישור אדם על פעולות בלתי הפיכות — כסף, פנייה יזומה ללקוח, מחיקה — גם במחיר שהאוטומציה נעשית פחות אוטומטית. בסקר, רק 11% מהארגונים חוסמים אוטומטית פעולה שחורגת מהגדרת הסוכן; רוב השאר מסתמכים על אישור אנושי או על תיעוד בדיעבד. שלישית, רשימה של הסוכנים שרצים אצלכם ותאריך שבו בודקים אם הם עוד נחוצים.

הצד השני: הפרדת ההרשאות עולה כסף וזמן, ובדרך כלל גם מאטה את ההטמעה בשבועיים־שלושה. בעסק שבו הסוכן רק מנסח טקסט שאדם קורא ושולח, או מסכם שיחות לקריאה פנימית, רוב העבודה הזאת מיותרת — אין שם פעולה בלתי הפיכה. היא מתחילה להיות הכרחית ברגע שהסוכן מקבל הרשאת כתיבה: לכרטסת, למערכת הגבייה, לתיבת הדואר היוצא. וזה בדיוק המקום שבו עובר רוב החיסכון האמיתי, כך שאי אפשר להתחמק מזה על ידי אי־הטמעה.

מקרה אחד מהשבוע ממחיש למה זה דחוף דווקא עכשיו: קראודסטרייק פרסמה שתוקף בודד, בעזרת כלי חדירה אוטומטי בשם ארטקס ומודלי שפה, פרץ כמה גופים פיננסיים בקוריאה הדרומית בין סוף ספטמבר לתחילת אוקטובר. לא קבוצה מתוחכמת עם תקציב — אדם אחד שהכלים הוזילו לו את העבודה. התוקפים משתמשים באותה ירידת מחירים שאתם משתמשים בה.

ההחלטה שאפשר לקחת מכאן

אם אתם בשלב של בחירת כלי, הוסיפו שאלה אחת לרשימת השאלות לספק: אילו הרשאות הסוכן דורש, ומה הוא מפסיק לעשות אם נותנים לו רק הרשאות קריאה. ספק שלא יודע לענות על זה בכתב לא בנה את המוצר עם התשובה הזאת בראש. ואם כבר יש לכם משהו שרץ — הקצו חצי שעה השבוע לשאלה אחת: מה הדבר היקר ביותר שהסוכן שלי יכול לעשות לבד. התשובה הזאת, ולא דירוג המודלים, היא מה שקובע כמה תעלה הטעות הראשונה.