מעבר לאישור הידני: למה הסוכנים שלכם צריכים זהות עצמאית

למה הסוכנים שלכם צריכים זהות עצמאית: מעבר לאישור הידני

הקונספט של ⁨אדם בלופ⁩ (Human-in-the-Loop) הופך במהירות לתיאטרון אבטחה חסר תועלת. כשאנחנו בונים מערכות סוכנים (Agents), שהן ישויות תוכנה הפועלות באופן אוטונומי להשגת מטרות, הציפייה שבן אדם ילחץ על אישור בכל פעם שהסוכן רוצה לבצע פעולה היא אשליה של שליטה.

בכנס Black Hat האחרון, התעשייה הודתה בשקט במה שרבים מאיתנו כבר הרגישו. חלון האישור שאתם סומכים עליו כדי להגן על מסדי הנתונים שלכם הוא לא באמת בקרה. הוא פשוט שלב נוסף בדרך לקריסה.

דברים שחשוב לדעת

• אישורים ידניים נכשלים מול סוכנים שפועלים במהירות גבוהה פי 10 מבני אדם, מה שמוביל לאישור אוטומטי מצד המשתמש עקב עייפות.
• סוכני AI יורשים הרשאות רחבות מדי של עובדים, מה שיוצר סיכון של מחיקת נתונים בגלל חוסר בשיקול דעת סמנטי.
• הפתרון עובר מאישורים ידניים לניהול זהות סוכנים (Agent Identity) המבוסס על הרשאות קצרות מועד לכל קריאת כלי בנפרד.
• ⁨מודלי שפה קטנים⁩ (SLMs) הופכים לשומרי הסף החדשים שמנתחים את כוונת הסוכן בזמן אמת.

האשליה של שליטה ידנית

כשסוכן AI מבצע מאות פעולות בדקה, אף מנהל מוצר או מפתח לא באמת קורא את הלוג לפני שהוא לוחץ על Approve. אנחנו פשוט רוצים שהמשימה תסתיים. התוצאה היא שסוכנים מקבלים יד חופשית לבצע פעולות הרסניות בשם המשתמש.

ראינו את זה קורה בשידור חי. מפתח חיבר את Claude Opus 5, מודל שפה מתקדם של חברת Anthropic, למסד נתונים חי של Supabase. תוך עשר דקות, הסוכן החליט להריץ מיגרציה שאיפסה את כל הטבלאות. הסוכן עשה בדיוק מה שהתבקש, והמערכת אישרה את זה כי היו לו את ההרשאות של המפתח.

הבעיה היא לא שהסוכן רשע, אלא שאין לו את שיקול הדעת להבין מתי פעולה לגיטימית היא למעשה רעילה בהקשר הנוכחי. סוכן יכול למשוך נתונים מ-Salesforce ולשלוח אותם במייל. שתי הפעולות מותרות, אבל השילוב ביניהן הוא אסון אבטחה.

בעיית כוח העבודה מהצללים

רוב הארגונים סובלים ממה שנקרא Shadow Workforce, צבא של סוכנים שפועלים עם הרשאות קבועות (Standing Permissions). אלו הרשאות שנבנו עבור בני אדם, לא עבור ישויות אוטונומיות.

מחקר של Rubrik Zero Labs מראה כי 86% ממובילי הטכנולוגיה מצפים שסוכני AI יעקפו את גדרות האבטחה הקיימות שלהם תוך שנה. רק ל-23% יש נראות מלאה למה שהסוכנים שלהם עושים כרגע.

הגדרת זהות סוכן מחדש

כדי לפתור את זה, אנחנו צריכים לעבור למודל של זהות סוכן. זה אומר שהסוכן לא מקבל את המפתחות לכל הבית. במקום זאת, הוא מקבל אסימון (Token) חד-פעמי ומוגבל לכל פעולה ספציפית שהוא רוצה לבצע.

חברות כמו Rubrik ו-Snowflake כבר התחילו להטמיע שערים (Gateways) שמבוססים על ⁨פרוטוקול MCP⁩, או Model Context Protocol, המאפשר חיבור סטנדרטי בין מודלי שפה לכלים חיצוניים. השער הזה בודק שלוש נקודות לפני כל ביצוע:

1. ניתוח התנהגותי: מה הסוכן באמת מנסה לעשות?
2. בדיקת מדיניות: האם הפעולה הזו מותרת בהקשר הזה?
3. אימות זהות: האם הסוכן הוא מי שהוא טוען שהוא?

שימוש במודלי שפה קטנים (SLMs) כמו SAGE מאפשר לבצע את הבדיקות האלו במהירות המכונה, בלי לעצור את זרימת העבודה של הסוכן.

צעדים מעשיים למנהלי טכנולוגיה

אם אתם מריצים סוכנים בסביבת ייצור, אל תחכו לאסון הראשון. התחילו להפריד פעולות בלתי הפיכות, כמו מחיקת טבלאות או איפוס שרתים, מפעולות רגילות. אלו ה-2% שבהם עצירה ידנית באמת שווה את הזמן.

שנית, הגדירו ⁨הרשאות לסוכן עצמו⁩, לא למשתמש שהוא פועל בשמו. סוכן לא צריך גישה לכל המיילים של המנכ"ל רק כי הוא עוזר לו לקבוע פגישות.

בניתי מערכות אוטונומיות וראיתי כמה קל להתפתות לקיצורי דרך בשם הפרודוקטיביות. אבל אבטחה אמיתית בעידן הסוכנים היא לא חלון אישור מעצבן, היא ארכיטקטורה שחוסמת את הטעות לפני שהיא נכתבת לקוד.

איזו פעולה במערכת שלכם היא הכי מסוכנת אם סוכן AI יבצע אותה ללא פיקוח סמנטי?

מקורות

• The approval prompt was never the control. Black Hat just admitted it. (web)
• Autonomous actors need new AI agent governance (SiliconANGLE)
• Rubrik unveils Agent Identity to govern AI agents one tool call at a time (SiliconANGLE)

שאלות נפוצות

למה אישור אנושי לא מספיק לאבטחת סוכני AI?

בני אדם לא יכולים לעמוד בקצב הפעולה של סוכנים אוטונומיים. כשהסוכן מבצע מאות פעולות, המשתמש נוטה לאשר הכל באופן אוטומטי, מה שהופך את הבקרה לתיאטרון אבטחה ולא למחסום אמיתי.

מה זה Agent Identity?

זו שכבת אבטחה המעניקה לסוכני AI זהות דיגיטלית משלהם, עם הרשאות שמונפקות לכל פעולה בנפרד (Per-tool-call) במקום להסתמך על ההרשאות הקבועות והרחבות של המשתמש האנושי.

איך מודלי שפה קטנים (SLMs) עוזרים באבטחה?

מודלים אלו מאומנים לזהות כוונות זדוניות או טעויות קריטיות בזמן אמת. הם פועלים כשומרי סף מהירים שמנתחים את הפלט של הסוכן לפני שהוא מגיע למערכות הליבה של הארגון.

דברים שחשוב לזכור

• הפסיקו להסתמך על אישורים ידניים כקו הגנה יחיד. הם קורסים תחת עומס.
• הטמיעו ⁨הרשאות קצרות מועד וספציפיות⁩ לכל קריאת כלי של הסוכן.
• הפרידו בין פעולות קריטיות (מחיקה או שינוי) לפעולות קריאה רגילות.