אנת'רופיק חוקרת שלושה אירועי סייבר אמיתיים שהתגלו בהערכות של קלוד

שלושה אירועי סייבר של קלוד מהעולם האמיתי נחקרו ופורסמו על ידי צוות ה-Frontier Red Team של אנת'רופיק ב-30 ביולי, לאחר שעלו במסגרת הערכות הסייבר השוטפות של החברה. הפרסום הזה הוא נקודת ציון: הוא מסמן את המעבר משיח תיאורטי על סיכוני AI בסייבר אל תיעוד מבוסס-ראיות של אירועים ממשיים. במאמר הזה נפרק מה בדיוק פורסם, איך הערכות סייבר של מודלים עובדות בפועל, ומה נדרש מכם כמנהלי אבטחת מידע וכבוני מוצר כדי להיערך לעידן שבו סוכני AI הם שחקן פעיל בזירה, לטוב ולרע.

מה פרסם צוות ה-Frontier Red Team של אנת'רופיק?

הפרסום מ-30 ביולי כולל חקירה של שלושה אירועים מהעולם האמיתי שהתגלו במהלך הערכות הסייבר (cyber evaluations) שאנת'רופיק מריצה על מודלי קלוד. הערכות אלה נועדו למדוד את היכולות ההתקפיות של המודל, אך במקרה הזה הן שימשו גם כמנגנון גילוי: דפוסי שימוש חריגים שזוהו בתהליך הובילו לחקירה מעמיקה של פעילות אמיתית ולא רק של תרחישי מעבדה.

לצד החקירה, אנת'רופיק פרסמה באותו חלון זמן שני עדכונים משלימים: הצהרת עמדה רשמית על מודלים בקוד פתוח (open-weight models) והשלכותיהם על בטיחות, והרחבה של שיתוף הפעולה עם Cognizant להטמעת קלוד בארגונים גדולים. השילוב הזה אינו מקרי: הוא משקף אסטרטגיה שבה מחקר איומים, מדיניות ופריסה ארגונית מתקדמים יחד, ולא כמסלולים נפרדים.

מנקודת מבט של בוני מוצר, החשיבות של הפרסום היא בשקיפות המתודולוגית. אנת'רופיק לא מסתפקת בהצהרה ש"המודל בטוח", אלא מציגה איך תהליך הערכה שגרתי הופך לכלי מודיעין איומים (threat intelligence) פעיל. זה מודל עבודה שכל ארגון שמפעיל מערכות AI בפרודקשן יכול וצריך לאמץ.

איך הערכות סייבר של מודלי שפה חושפות אירועים אמיתיים?

הערכות סייבר של מודלים כמו קלוד בוחנות באופן שיטתי מה המודל מסוגל לעשות בתרחישים התקפיים, ובמקביל מנטרות דפוסי שימוש שמעידים על ניצול לרעה בפועל. כשמערכת הניטור מזהה שרשראות פעולה שמתאימות לפרופיל של תקיפה אמיתית ולא של מחקר לגיטימי, נפתחת חקירה ידנית של צוות מומחים. כך שלושת האירועים שבפרסום עלו לפני השטח.

ממה מורכבת הערכת סייבר בפועל

בשכבה הטכנית, הערכות כאלה כוללות בדרך כלל אתגרי CTF (Capture The Flag) בדרגות קושי עולות, משימות של ניתוח פגיעויות בקוד, כתיבת exploits בסביבות מבודדות, ותרחישי סוכן אוטונומי שבהם המודל מקבל גישה לכלים כמו טרמינל וסורק רשת ונמדד על יכולתו להשלים שרשרת תקיפה מקצה לקצה. המדידה אינה בינארית: בודקים באיזה שלב המודל נעצר, כמה הכוונה אנושית נדרשה, ומה עלות ההרצה.

CTF (Capture The Flag)

אתגרי תקיפה מבוקרים בדרגות קושי עולות, שמשמשים למדידת יכולות התקפיות של מודל בסביבה מבודדת.

Observability (תצפית)

יכולת לנטר ולשחזר את שרשרת הפעולות המלאה של מודל או סוכן, מעבר לפרומפט הבודד.

Open Weights (משקולות פתוחות)

מודל שקובצי המשקולות שלו זמינים להורדה, כך שכל שכבות ההגנה של הספק ניתנות להסרה ואין ערוץ ניטור מרכזי.

Prompt Injection

הזרקת הוראות זדוניות דרך תוכן שהסוכן קורא, כמו מייל, דף אינטרנט או מסמך, במטרה להטות את פעולתו.

Least Privilege

עקרון הרשאות מינימליות: כל סוכן מקבל רק את הגישה ההכרחית למשימתו, כמו עובד חדש בארגון.

התובנה החשובה לארכיטקטים היא שהערכה ותצפית (observability) הן שני צדדים של אותו מטבע. אותה תשתית טלמטריה שמודדת יכולות במעבדה היא זו שמזהה שימוש לרעה בפרודקשן. אם אתם בונים מוצר שחושף יכולות מודל למשתמשים, תכננו מהיום הראשון לוגים ברמת שרשרת הפעולות (action trace), לא רק ברמת הפרומפט הבודד.

מה המשמעות של אירועי הסייבר של קלוד עבור מנהלי אבטחת מידע בישראל?

המשמעות המיידית היא שסוכני AI כבר אינם איום עתידי אלא גורם פעיל בשטח, וזה משנה את מודל האיומים משני הכיוונים: תוקפים משתמשים במודלים כדי להאיץ סיור, כתיבת קוד זדוני והנדסה חברתית, ובמקביל הארגון שלכם עצמו מכניס סוכני AI פנימה, עם הרשאות וגישה למערכות רגישות.

בצד ההתקפי, המשמעות המעשית היא ירידה בחסם הכניסה. פעולות שדרשו בעבר תוקף מיומן, כמו התאמת exploit לגרסה ספציפית או ניסוח פישינג משכנע בעברית תקינה, הופכות זמינות לשחקנים פחות מתוחכמים. עבור ארגונים ישראליים, שממילא נמצאים תחת נפח תקיפות גבוה, זה מתורגם לעלייה צפויה בקצב ובאיכות של ניסיונות תקיפה, גם משחקנים שאינם מדינתיים.

בצד ההגנתי, הכנסת סוכן AI לארגון היא למעשה הוספת זהות חדשה עם הרשאות. סוכן שמחובר למערכת הטיקטים, ל-CRM ולמאגר הקוד הוא נכס תקיפה מושלם אם לא מגבילים אותו. העיקרון המנחה: התייחסו לסוכן כמו לעובד חדש עם הרשאות מינימליות (least privilege), סביבת הרצה מבודדת, ורישום מלא של כל פעולה שהוא מבצע.

עמדת אנת'רופיק על מודלים בקוד פתוח: למה זה חלק מאותו סיפור?

הצהרת העמדה של אנת'רופיק על מודלים בקוד פתוח קשורה ישירות לחקירת האירועים, כי מודלים עם משקולות פתוחות (open weights) משנים את משוואת האכיפה. כשמודל רץ מאחורי API, הספק יכול לנטר שימוש לרעה, לחסום חשבונות ולעדכן מסנני בטיחות. כשהמשקולות זמינות להורדה, כל שכבות ההגנה הללו ניתנות להסרה על ידי המשתמש, ואין ערוץ ניטור מרכזי.

זה לא אומר שקוד פתוח הוא רע. האקוסיסטם הפתוח מניע מחקר, שקיפות ותחרות, וחלק גדול מכלי ההגנה עצמם בנוי עליו. אבל מנקודת מבט של מודל איומים, ההבחנה קריטית: יכולת שקיימת במודל סגור ניתנת לבקרה ברמת הספק; יכולת שמשוחררת במשקולות פתוחות היא בלתי הפיכה. לכן שיח הבטיחות סביב מודלי חזית (frontier models) מתמקד בשאלה אילו רמות יכולת סייבר בטוח לשחרר באופן פתוח, ואילו מחייבות שכבת בקרה.

ההשלכה המעשית עבורכם: אם אתם מריצים מודלים פתוחים בארגון, האחריות על שכבת הבטיחות עוברת אליכם במלואה. זה כולל סינון קלט ופלט, הגבלת כלים שהמודל יכול להפעיל, ובקרת גישה על מי בארגון מורשה להריץ מה.

שיתוף הפעולה עם Cognizant: מה נדרש כדי להריץ קלוד בפרודקשן ארגוני?

הרחבת שיתוף הפעולה בין אנת'רופיק ל-Cognizant נועדה להאיץ הטמעה של קלוד בארגונים גדולים, והיא ממחישה שפריסה ארגונית של AI היא בעיה של אינטגרציה וממשל (governance) לא פחות מאשר של יכולות מודל. חברות אינטגרציה בסדר הגודל של Cognizant נכנסות לתמונה בדיוק בגלל הפער בין PoC מרשים לבין מערכת פרודקשן עמידה.

מניסיון בבניית מערכות כאלה, הפער מתרכז בכמה נקודות ארכיטקטוניות קבועות: ניהול הקשר (context) וזיכרון בין סשנים, טיפול בכשלים של קריאות מודל עם retry ו-fallback מסודרים, בקרת עלויות ברמת טוקנים לכל צוות, ושכבת guardrails שמפרידה בין מה שהמודל מציע לבין מה שהמערכת באמת מבצעת. סוכן שיכול רק להציע פעולה לאישור אנושי הוא פרופיל סיכון שונה לגמרי מסוכן שמבצע פעולות ישירות מול API-ים ארגוניים.

החיבור לחקירת אירועי הסייבר ברור: ככל שקלוד ודומיו נטמעים עמוק יותר בתהליכים עסקיים, כך גדל הערך של תשתית הערכה וניטור שאנת'רופיק מדגימה. ארגון שמטמיע סוכני AI בלי יכולת לשחזר בדיעבד מה הסוכן עשה ולמה, בונה לעצמו נקודת עיוורון.

ארגון שמטמיע סוכני AI בלי יכולת לשחזר בדיעבד מה הסוכן עשה ולמה - בונה לעצמו נקודת עיוורון.

איך נערכים בפועל: תוכנית עבודה למנהלי אבטחה ובוני מוצר

ההיערכות לעידן סוכני ה-AI מתחילה במיפוי ומסתיימת בתרגול, וניתן לפרק אותה לשלבים סדורים שכל צוות אבטחה יכול להתחיל בהם השבוע:

1. מפו את השימוש הקיים: אילו מודלים וסוכנים כבר רצים בארגון, כולל Shadow AI שעובדים מפעילים בלי אישור, ואילו הרשאות וגישות יש לכל אחד מהם.
2. הגדירו מדיניות הרשאות לסוכנים: כל סוכן מקבל זהות נפרדת, הרשאות מינימליות, והפרדה בין יכולת קריאה ליכולת ביצוע פעולות.
3. בנו שכבת תצפית: לוגים מלאים של פרומפטים, קריאות כלים ופלטים, עם התראות על דפוסים חריגים, בדומה למנגנון שאיפשר לאנת'רופיק לזהות את שלושת האירועים.
4. הריצו הערכות פנימיות: בדקו מה הסוכנים שלכם מסוגלים לעשות כשמנסים להטות אותם, כולל תרחישי prompt injection דרך תוכן חיצוני שהם קוראים.
5. עדכנו את מודל האיומים: הוסיפו תרחישים של תקיפות מואצות-AI לתוכנית התגובה לאירועים ותרגלו אותם כמו כל תרחיש אחר.

נקודה אחת שווה הדגשה: prompt injection, כלומר הזרקת הוראות זדוניות דרך תוכן שהסוכן קורא (מייל, דף אינטרנט, מסמך), היא כיום וקטור התקיפה המעשי ביותר נגד סוכני AI ארגוניים. אם הסוכן שלכם קורא תוכן שמקורו מחוץ לארגון ויש לו יכולת ביצוע פעולות, זו נקודת התורפה הראשונה שתוקף ינסה.

לאן זה מתקדם: הערכות סייבר כסטנדרט תעשייתי ב-2026

המגמה שהפרסום של אנת'רופיק מסמן היא הפיכת הערכות סייבר של מודלים מפרקטיקה וולונטרית של מעבדות חזית לציפייה רגולטורית ותעשייתית רחבה. במהלך 2026 סביר שנראה יותר ארגונים דורשים מספקי AI שקיפות על תהליכי ההערכה שלהם כחלק מבדיקת נאותות, בדיוק כפי שהיום דורשים דוחות SOC 2. עבור מי שבונה מוצרים על גבי מודלים, היכולת להסביר מה המערכת שלכם עושה, מה היא מסוגלת לעשות ואיך אתם מנטרים אותה, הופכת מיתרון תחרותי לדרישת סף.

מי שרוצה להעמיק בבניית מערכות AI מאובטחות ובעבודה נכונה עם סוכנים בפרודקשן ימצא ערך בקורסי הבינה המלאכותית המעשיים שלנו, שמכסים גם היבטי אבטחה וארכיטקטורה. ולמעקב שוטף אחר התפתחויות בזירת ה-AI והסייבר, כולל ניתוחים של פרסומי המעבדות המובילות, מומלץ לעקוב אחרי מדור החדשות והניתוחים במגזין. הפרסום של אנת'רופיק הוא תזכורת שהשאלה כבר אינה אם סוכני AI ישפיעו על זירת הסייבר, אלא האם הארגון שלכם ערוך לצד הנכון של המשוואה.