יש שאלה אחת שאני נוהג לשאול מנכ"ל שמספר לי בגאווה שהכניסו עוזר AI לארגון: מי בדק מה קורה כשגורם מבחוץ שותל הוראה בתוך מסמך שהעוזר שלכם קורא?
בדרך כלל התשובה היא שתיקה. לא בגלל רשלנות, אלא בגלל שאף אחד לא הציג את הפרויקט ככה. הציגו אותו כשיפור שירות או כחיסכון בכוח אדם. אבל ברגע שחיברתם מודל שפה למידע הארגוני שלכם, פתחתם משטח תקיפה שההגנות שבניתם בעשור וחצי האחרון לא תוכננו בשבילו.
אני לא איש סייבר. אני מנכ"ל שבונה מערכות בעצמו, וכשאתה בונה אתה רואה מקרוב איפה הדברים שבירים. מה שאני מתאר כאן הוא לא תרחיש עתידי. הוא מתועד, ממופה, ויש לו שם.
ההוראה שמתחבאת בתוך המידע
הבעיה המרכזית באבטחת מודלי שפה נקראת Prompt Injection, הזרקת הנחיות. היא קשה כל כך מסיבה ארכיטקטונית: המודל מקבל את ההנחיות שלכם ואת המידע שהוא קורא באותו ערוץ בדיוק. הוא לא באמת מבחין בין "זו הוראה מהמעסיק שלי" לבין "זה טקסט שאני אמור רק לסכם". תוקף שמצליח לשתול משפט בתוך מייל נכנס, קורות חיים, חשבונית ספק או דף אינטרנט, יכול לגרום למודל להתייחס אליו כאל פקודה.
בדירוג OWASP Top 10 for LLM Applications לשנת 2025, הזרקת הנחיות מדורגת במקום הראשון, שנייה במספר המהדורות ברציפות. במקום השני, אחרי קפיצה מהמקום השישי, נמצאת חשיפת מידע רגיש.
זה לא תיאורטי. ביוני 2025 חשפה חברת המחקר Aim Security חולשה במיקרוסופט 365 Copilot שקיבלה את השם EchoLeak ואת המזהה CVE-2025-32711, בציון חומרה 9.3. התוקף שולח מייל רגיל למראה. בתוכו, בהערת HTML או בטקסט בצבע לבן, מוסתרות הנחיות. המשתמש לא צריך ללחוץ על כלום. העוזר קורא את המייל בדרכו לענות על שאלה אחרת לגמרי, ומדליף החוצה מידע פנימי. זה תועד כמקרה הראשון שבו הזרקת הנחיות נוצלה להוצאת מידע ממערכת AI שרצה בפרודקשן.
למה "נסגור את זה בגרסה הבאה" היא לא תשובה
הייתי רוצה לכתוב שיש טלאי. אין. בכנס Infosecurity Europe ב-2026 אמר תורם בפרויקט OWASP במפורש שהזרקת הנחיות נותרה בעיה ארכיטקטונית לא פתורה, מהסיבה הפשוטה שמודל שפה מעבד את כל הקלט כרצף אחד ואין מנגנון אמין שאוכף גבול הרשאות בין הנחיית המערכת, שאלת המשתמש והתוכן שנשלף מבחוץ. סקירה של Help Net Security מיוני 2026 מצאה שהזרקת הנחיות עדיין מובילה את רוב כשלי האבטחה של סוכני AI בפרודקשן.
המסקנה המעשית היא לא לוותר על AI. המסקנה היא להפסיק לתכנן כאילו אפשר למנוע, ולהתחיל לתכנן הרשאות. אם העוזר יכול לקרוא רק את מה שהמשתמש שמולו רשאי לקרוא, ואם הוא לא יכול לבצע פעולה בעלת השלכה כספית או משפטית בלי אישור אנושי, הנזק המרבי מהזרקה מוצלחת מצטמצם דרמטית.
זה בדיוק ההיגיון שמערך הסייבר הלאומי הציג להנהלות בישראל בדוח שפרסם במאי 2026: מעבר מתפיסה של מניעה וסגירת פרצות לתפיסה של הכלה וחוסן תפעולי, מתוך הנחה שהרשת הפנימית תיפרץ. הדוח אף המליץ על מועד מחייב, 31 במאי 2026, להצגת האיום בפני דירקטוריונים וועדות ביקורת. הרקע לא מרגיע: לפי הנתונים שהציג ראש מערך הסייבר הלאומי יוסי כראדי בכנס Cybertech Global בתל אביב בינואר 2026, טופלו בישראל ב-2025 יותר מ-26,000 אירועי סייבר, עלייה של 55% לעומת 2024.
שבע שאלות לספק, לפני החתימה
אלה השאלות שאני מבקש מכל מנכ"ל להעביר לספק ה-AI שלו בכתב. לא כי אני מצפה שהמנכ"ל יבין כל תשובה לעומק, אלא כי איכות התשובה מלמדת יותר מהתשובה עצמה.
- לאיזה מידע ארגוני המודל יכול לגשת, ובאיזו הרשאה. האם הוא רואה בדיוק מה שהמשתמש רואה, או יותר.
- אילו פעולות המערכת רשאית לבצע בלי אישור אנושי. תשלום, שליחת מייל החוצה, עדכון רשומה, מחיקה.
- איפה נשמרים הפרומפטים והפלטים, לכמה זמן, ובאיזו מדינה.
- האם הקלט שלנו משמש לאימון. בכתב, לא בשיחה.
- מה קורה לתוכן שנשלף ממקור חיצוני. האם הוא מסומן ומופרד מההנחיות.
- איך אתם מזהים ומתעדים ניסיון הזרקה, ומי מקבל התראה.
- תנו לי לוג של שלוש שיחות אמיתיות מהחודש האחרון. אם אין לוג, אין בקרה.
ספק שנבהל מהשאלות האלה הוא לא ספק. ואם התשובות נעשות טכניות מדי, זה בדיוק הרגע להביא איש סייבר לחדר. אני יודע לבנות את המערכת ולשאול את השאלות הנכונות. מבדק חדירה למערכת קריטית שייך למי שזה המקצוע שלו.
מה אני עושה בפועל
במערכות שאני בונה חוזרים שני עקרונות. הראשון: מידע רגיש לא יוצא מהפרימטר כשאין לזה סיבה. במוסד רפואי גדול שעבדתי מולו, תמלול שיחות מטופלים רץ על שרת מקומי ולא בענן, בדיוק בגלל זה. השני: לכל פעולה בעלת משמעות יש שער אנושי. המודל מציע, אדם מאשר.
זה לא מרשים במצגת. זה מה שמחזיק כשמשהו משתבש.
אם אתם באמצע פרויקט AI ורוצים לעבור על שבע השאלות האלה מול הספק שלכם, אני שמח לשבת על זה שעה. בלי מצגת.
