הציווי חסר הסוד: מדוע מודלים מסורתיים של אבטחה נשברים כאשר סוכני בינה מלאכותית נוגעים בקוד

באפריל 2023, סמסונג גילתה שהמהנדסים שלה דלפו מידע רגיש ל-ChatGPTאבל זה היה מקרי. עכשיו דמיינו לעצמכם שאותם מאגרי קוד היו מכילים הוראות שהושתלו במכוון, בלתי נראות לבני אדם אך מעובדות על ידי בינה מלאכותית, שנועדו לחלץ לא רק קוד אלא כל מפתח API, אישורי מסד נתונים וטוקן שירות שהבינה המלאכותית יכלה לגשת אליהם. זה לא היפותטי. חוקרי אבטחה כבר הוכיחו התקפות "ההוראה הבלתי נראת" הללו עובדות. השאלה אינה אם זה יקרה, אלא מתי.

הגבול שכבר אינו קיים

במשך עשרות שנים, בנינו אבטחה על הנחה בסיסית: קוד הוא קוד, ונתונים הם נתונים. הזרקת SQL לימדה אותנו לפרמטריזציה של שאילתות. סקריפטים בין אתרים לימדו אותנו לברוח מפלטים. למדנו לבנות חומות בין מה שתוכניות עושות לבין מה שמשתמשים מכניסים.

עם סוכני בינה מלאכותית, הגבול הזה התאדה.

בניגוד לתוכנה דטרמיניסטית שעוקבת אחר נתיבים צפויים, מודלים של שפה גדולה הם קופסאות שחורות הסתברותיות שאינן יכולות להבחין בין הוראות מפתח לגיטימיות לבין קלט זדוני. כאשר תוקף מזין הנחיה לעוזר קידוד בינה מלאכותית, הוא לא רק מספק נתונים. הוא בעצם מתכנת מחדש את האפליקציה תוך כדי תנועה. הקלט הפך לתוכנית עצמה.

זה מייצג שבירה מהותית מכל מה שאנחנו יודעים על אבטחת יישומים. חומות אש מסורתיות מבוססות תחביר, המחפשות דפוסים זדוניים כמו DROP TABLE או tags, fail completely against natural language attacks. Researchers have demonstrated “semantic substitution” techniques where replacing “API keys” with “apples” in prompts allows attackers to bypass filters entirely. How do you firewall intent when it’s disguised as harmless conversation?

מציאות אפס הקליקים שאף אחד לא מדבר עליה

הנה מה שרוב צוותי האבטחה לא מבינים: הזרקה מהירה (prompt injection) אינה דורשת מהמשתמש להקליד דבר. לרוב מדובר בניצול ללא קליקים. סוכן בינה מלאכותית שסוקר מאגר קוד עבור משימה שגרתית, בודק בקשת משיכה או קורא תיעוד API יכול להפעיל מתקפה ללא כל התערבות אנושית.

קחו בחשבון תרחיש זה, בהתבסס על טכניקות שחוקרים כבר הוכיחוגורם זדוני מטמיע הוראות בלתי נראות בתגובות HTML בתוך תיעוד של ספריית קוד פתוח פופולרית. כל עוזר בינה מלאכותית שמנתח קוד זה, בין אם GitHub Copilot, Amazon CodeWhisperer או כל עוזר קידוד ארגוני אחר, הופך לגורם פוטנציאלי לאסוף אישורים. ספרייה אחת שנפגעה עלולה להוביל לאלפי סביבות פיתוח חשופות.

הסכנה אינה ה-LLM עצמו; אלא הסוכנות שאנו נותנים לו. ברגע ששילבנו את המודלים האלה עם כלים ו-APIs, ואפשרנו להם לאחזר נתונים, לבצע קוד ולגשת לסודות, הפכנו עוזרים מועילים לווקטורי תקיפה מושלמים. הסיכון אינו גדל עם האינטליגנציה של המודל; הוא גדל עם הקישוריות שלו.

מדוע הגישה הנוכחית נידונה לכישלון

התעשייה כיום אובססיבית ל"יישור" מודלים ולבניית חומות אש טובות יותר. OpenAI מוסיפה עוד מעקות בטיחות. Anthropic מתמקדת בבינה מלאכותית חוקתית. כולם מנסים ליצור מודלים שלא ניתן להערים עליהם.

זהו קרב אבוד.

אם בינה מלאכותית חכמה מספיק כדי להיות שימושית, היא חכמה מספיק כדי להטעות אותה. אנחנו נופלים למה שאני מכנה "מלכודת החיטוי": ההנחה שסינון קלט טוב יותר יציל אותנו. אבל התקפות יכולות להיות מוסתרות כטקסט בלתי נראה בתגובות HTML, קבורות עמוק בתיעוד, או מקודדות בדרכים שעדיין לא דמיינו. אי אפשר לטהר את מה שאי אפשר להבין מבחינה הקשרית, וההקשר הוא בדיוק מה שהופך את תוכניות ה-LLM לחזקות.

התעשייה צריכה לקבל אמת קשה: הזרקה מהירה תצליח. השאלה היא מה קורה כשזה קורה.

השינוי האדריכלי שאנו זקוקים לו

אנחנו נמצאים כרגע ב"שלב תיקון", ומוסיפים נואשות מסנני קלט וכללי אימות. אבל בדיוק כשם שבסופו של דבר למדנו שמניעת הזרקת SQL דורשת שאילתות פרמטריות, ולא פתרון טוב יותר של מחרוזות בריחה, אנחנו צריכים פתרון ארכיטקטוני לאבטחת בינה מלאכותית.

התשובה טמונה בעיקרון שנשמע פשוט אך דורש חשיבה מחודשת על האופן שבו אנו בונים מערכות: סוכני בינה מלאכותית לעולם לא צריכים להחזיק בסודות שהם משתמשים בהם.

לא מדובר בניהול אישורים טוב יותר או בפתרונות משופרים של כספות. מדובר בזיהוי סוכני בינה מלאכותית כזהויות ייחודיות וניתנות לאימות, ולא כמשתמשים הזקוקים לסיסמאות. כאשר סוכן בינה מלאכותית צריך לגשת למשאב מוגן, עליו:

1. אימות באמצעות זהות ניתנת לאימות (לא סוד מאוחסן)

2. קבלת אישורי Just-in-Time תקפים רק עבור משימה ספציפית זו

3. ודאו שהאישורים הללו יפוגו אוטומטית תוך שניות או דקות

4. לעולם אל תאחסנו או אפילו "תראו" סודות ארוכי טווח

מספר גישות צצות. תפקידי AWS IAM עבור חשבונות שירות, זהות עומס העבודה של גוגל, הסודות הדינמיים של HashiCorp Vault, ופתרונות ייעודיים כמו Zero Trust Provisioning של Akeyless, כולם מצביעים על עתיד נטול סודות זה. פרטי היישום משתנים, אך העיקרון נותר בעינו: אם לבינה מלאכותית אין סודות לגנוב, הזרקה מהירה הופכת לאיום קטן משמעותית.

סביבת הפיתוח של 2027

בתוך שלוש שנים, קובץ ה-.env ימות בפיתוח מבוסס בינה מלאכותית. מפתחות API ארוכי חיים הנמצאים במשתני סביבה ייראו כשאנו רואים כעת סיסמאות בטקסט רגיל: שריד מביך מתקופה נאיבית יותר.

במקום זאת, כל סוכן בינה מלאכותית יפעל תחת הפרדת הרשאות קפדנית. גישה לקריאה בלבד כברירת מחדל. רשימת פעולות לבנה כסטנדרט. סביבות ביצוע בארגז חול כדרישת תאימות. נפסיק לנסות לשלוט במה שהבינה המלאכותית חושבת ונתמקד לחלוטין בשליטה במה שהיא יכולה לעשות.

זו לא רק אבולוציה טכנית; זהו שינוי מהותי במודלים של אמון. אנחנו עוברים מ"לסמוך אך לאמת" ל"לעולם אל תסמוך, תמיד לאמת, והניחו פשרה". עקרון הפריבילגיה הנמוכה ביותר, שמוכר זמן רב אך מיושם לעתים רחוקות, הופך לבלתי ניתן למשא ומתן כאשר המפתח הצעיר שלכם הוא בינה מלאכותית שמעבדת אלפי קלטים שעלולים להיות זדוניים מדי יום.

הבחירה שעומדת בפנינו

שילוב הבינה המלאכותית בפיתוח תוכנה הוא בלתי נמנע ומועיל במידה רבה. GitHub מדווח כי מפתחים המשתמשים ב-Copilot משלימים משימות מהר יותר ב-55%השיפורים בפריון הם אמיתיים, ואף ארגון שרוצה להישאר תחרותי לא יכול להתעלם מהם.

אבל אנחנו עומדים בצומת דרכים. אנחנו יכולים להמשיך בדרך הנוכחית על ידי הוספת מעקות בטיחות נוספים, בניית מסננים טובים יותר, בתקווה שנוכל ליצור סוכני בינה מלאכותית שלא ניתן להערים עליהם. או שאנחנו יכולים להכיר באופיו הבסיסי של האיום ולבנות מחדש את ארכיטקטורת האבטחה שלנו בהתאם.

התקרית עם סמסונג הייתה יריית אזהרה. הפריצה הבאה לא תהיה מקרית, והיא לא תוגבל לחברה אחת. ככל שסוכני בינה מלאכותית צוברים יותר יכולות ויגיעו ליותר מערכות, ההשפעה הפוטנציאלית גדלה באופן אקספוננציאלי.

השאלה שעומדת בפני כל CISO, כל מנהיג הנדסה וכל מפתח היא פשוטה: כאשר הזרקה מהירה (prìomh injection) מצליחה בסביבה שלכם (וכך היא תצליח), מה ימצא התוקף? האם יגלה אוצר בלום של אישורים ארוכי טווח, או שמא ימצא סוכן בינה מלאכותית שלמרות שהוא פרוץ, אין לו סודות לגנוב?

הבחירה שנעשה כעת תקבע האם הבינה המלאכותית תהפוך למאיץ הגדול ביותר של פיתוח תוכנה או לפגיעות הגדולה ביותר שיצרנו אי פעם. הטכנולוגיה לבניית מערכות בינה מלאכותית מאובטחות ונטול סודות קיימת כיום. השאלה היא האם ניישם אותה לפני שהתוקפים יכריחו אותנו לעשות זאת.

OWASP כבר זיהתה הזרקה מהירה כסיכון מספר 1 בעשרת המובילים שלהם עבור בקשות לתואר שני במשפטים. NIST מפתחת הנחיות על ארכיטקטורות של אפס אמון. המסגרות קיימות. השאלה היחידה היא מהירות היישום לעומת התפתחות ההתקפה.

ביוגרפיה: רפאל אנג'ל הוא המייסד השותף ומנהל הטכנולוגיה הראשי של ללא מפתח, שם פיתח את טכנולוגיית ההצפנה Zero-Trust של החברה, הרשומה כפטנט. רפאל, מהנדס תוכנה ותיק בעל מומחיות מעמיקה בקריפטוגרפיה ואבטחת ענן, שימש בעבר כמהנדס תוכנה בכיר במרכז המחקר והפיתוח של Intuit בישראל, שם בנה מערכות לניהול מפתחות הצפנה בסביבות ענן ציבורי ותכנן שירותי אימות מכונה. הוא בעל תואר ראשון במדעי המחשב מהמכללה הטכנולוגית בירושלים, אותו השלים בגיל 19.