איך לאבטח את העידן האג'נטי? ראיון בלעדי עם טום ברנע מחברת Tenable

בחלק מסדרת הפרקים לקראחת כנס CyberML, אירחתי את טום ברנע, מוביל תחום ה-Data Science וה-Security בחברת Tenable. טום מביא עמו ניסיון עשיר של שנים בחקירת אירועי סייבר מורכבים (Incident Response), שירות צבאי כמפקד קורס סייבר, ופעילות כחבר בורד בעמותת "פרוגראם". השיחה שלנו התקיימה סביב כנס CyberML, והתמקדה בנושא הבוער ביותר כיום בתעשייה: כיצד ארגונים יכולים לאמץ טכנולוגיות Generative AI וסוכנים אוטונומיים (Agents) מבלי להרחיב את משטח התקיפה שלהם באופן מסוכן. סקרן אותי להבין איך חברה המובילה בתחום ה-Exposure Management ניגשת לאבטחת עידן ה-AI, ומהם המנגנונים ההנדסיים שמאפשרים לזהות איומים מורכבים בזמן אמת.

שינוי פרדיגמת התקיפה: מנוזקות קלאסיות להבנת כוונת המשתמש

כששאלתי את טום על הבדלי הארכיטקטורה בין תקיפות סייבר מסורתיות לבין איומים בעולמות ה-AI, הוא הציג תפיסה הנדסית ששינתה את האופן שבו אני מסתכל על הנושא. בסייבר קלאסי, תוקף מחפש קונפיגורציות שגויות בשרתים או חולשות תוכנה כדי להשיג אחיזה רחבה. לעומת זאת, בעולם ה-AI משטח התקיפה משתנה: התוקף אינו זקוק להרשאות אדמין לכל השרת, אלא מנצל לגיטימית את ה-Copilot הארגוני. באמצעות שאילתה בודדת ומדויקת המופנית למנוע החיפוש הארגוני המחובר ל-SharePoint, התוקף יכול לשלף קבצים רגישים תוך שניות.

הופתעתי לגלות עד כמה המנגנון הזה דומה להנדסה חברתית (Social Engineering) המופעלת ישירות על מודלי השפה. טום הסביר שהאיומים כבר אינם מסתכמים בהזרקת הנחיות פשוטה (Prompt Injection), אלא מתרחבים לתקיפות עקיפות (Indirect Prompt Injection) שבהן תוכן חיצוני מורעל. כך למשל, קובץ מתוך קבוצת Teams או אתר אינטרנט תמים עלול להכיל הוראות נסתרות המשנות את התנהגות המודל. מבחינת צוותי האבטחה, האתגר הוא כפול: לא מדובר בלוגים חד-משמעיים של פיירוול (Firewall), אלא בטקסט חופשי המחייב ניתוח סמנטי של כוונת המשתמש (Intent Recognition) כדי להבדיל בין שאילתה תמימה לבין ניסיון דליפת מידע.

מה שריתק אותי בפרקטיקה הארגונית שטום תיאר הוא שאתגר האבטחה אינו פוגש רק את מנהל אבטחת המידע (CISO), אלא מחייב מעורבות של ה-CFO, ה-HR והנהלת הביזנס. דוגמה קונקרטית שהוא חלף עמה נגעה לעובדים ששאלו את הקופיילוט הארגוני על תוצאות הדוחות הכספיים ימים ספורים לפני הפרסום הרשמי לבורסה, במטרה לבצע סחר במידע פנים. במקרים כאלה, המערכת נדרשת לזהות חריגות התנהגותיות ולא רק פרצות אבטחה יבשות.

המעטפת הטכנולוגית: סיווג סמנטי, Guardrails ואג'נטים לבקרה

סקרן אותי להבין כיצד Tenable פותרת את הבעיה הזו ברמה האלגוריתמית וההנדסית. טום הסביר לי שהם פיתחו ארכיטקטורת הגנה רב-שכבתית המשלבת בין מסווגים (Classifiers) ייעודיים לבין סוכני ניטור בזמן אמת. בשכבה הראשונה, המערכת מאמנת מודלי למידת מכונה (Machine Learning Classifiers) על גבי Data Sets עשירים של דוגמאות חיוביות ושליליות. המסווגים אינם מסתמכים על התאמת מחרוזות יבשה (String Matching), אלא מבינים את ההקשר הסמנטי של הביטויים כדי ללכוד ניסיונות עקיפה מתוחכמים.

במהלך הראיון, דנו באופן שבו הם מיישמים סוכנים אוטונומיים (Agents) שכל תפקידם הוא לבצע ארביטראז' ובקרה על תהליכי ה-Inference בפרודקשן. טום תיאר כיצד סוכן בודק (Inspector Agent) מנתח את הפלט והקלט של ה-LLM, מוודא שאין חריגה מגבולות הגזרה (Guardrails), ומזהה סיכונים כמו הסתמכות יתר (Over-reliance) ביישומים קריטיים. הוא ציין דוגמאות מרתקות מעולמות הציוד הרפואי והכימיקלים, שבהן עובדים התייעצו עם AI לגבי ערבוב חומרים מסוכנים – תרחיש שבו שגיאה קטנה של המודל עלולה לעלות בחיי אדם.

התרשמתי מעבודת התשתית הנדרשת כדי למנוע התקפות מורכבות יותר, כגון Typosquatting בספריות קוד. תוקפים כיום מנצלים סוכני כתיבת קוד כדי להזריק חבילות זדוניות ששמן דומה כמעט לחלוטין לחבילות פופולריות (למשל התקנת ספריה שגויה במקום Pandas). התגובה ההנדסית מחייבת שילוב של אנשי Data Science יחד עם חוקרי סייבר (Security Researchers), המפתחים מודלים הקוראים את תוכן הקוד והקומנטים ברדיט או ב-GitHub כדי לוודא את אמינות המקורות.

אתגר הקונפיגורציה והתקשורת בין סוכנים (Agent-to-Agent Security)

כששאלתי את טום מהם ה-Use Cases המורכבים ביותר שבהם הוא נתקל בשטח, הוא הציג את בעיית ה-Over-privilege וההגדרות השגויות בארגונים. בעוד שחברות הענק כמו Microsoft, OpenAI ו-Google משיקות פיצ'רים בקצב מסחרר (כמו Claude Bot או Copilot Agents), מרכזי האדמין (Admin Centers) נותרים לעיתים ללא סרגלי שליטה מספקים עבור אנשי הסייבר. המצב הזה יוצר חשיפות דרמטיות בלחיצת כפתור אחת.

טום שיתף מקרה שבו עובד בארגון פיתח סוכן אוטונומי שאמור היה לתמצת הודעות מרשת ה-Teams הארגונית. בגלל קונפיגורציה שגויה והגדרת הרשאות פתוחה (Open to anyone with the link), הסוכן נחשף לרשת האינטרנט הפתוחה, מה שאיפשר לכל גורם חיצוני לקרוא את כל ההודעות, התיקיות והדאטה הרגיש שהיו נגישים לאותו עובד. האירוע הזה ממחיש כיצד כלי שאמור לייצר התייעלות הופך לצינור דליפת מידע מאסיבי.

המראיין והאורח הסכימו כי האתגר הבא בתעשייה נע סביב תקשורת ואורקסטרציה בין מספר סוכנים (Agent-to-Agent Architecture). גם אם כל סוכן בודד מוגדר בצורה מאובטחת ועומד בכללי ההרשאות שלו, החיבור והורדת המדע בין סוכנים שונים מייצרים "חורים שחורים" אבטחתיים. פיתוח מנגנוני הבקרה המנטרים את תעבורת הנתונים שבין סוכן לסוכן (Multi-Agent Workflows) הוא החזית ההנדסית החדשה של צוותי הפיתוח.

ה-AI כאמצעי תקיפה והתפתחות מפתחי העתיד

לקראת סיום השיחה, נגענו בצד השני של המתרס – כיצד התוקפים עצמם משתמשים ב-AI. טום הסביר שהיכולת לייצר אתרי פישינג (Phishing) וממשקי אותנטיקציה מזויפים הפכה לכמעט מיידית. באמצעות הנחיה פשוטה לכלים כמו Cursor או Claude Code, תוקף יכול לצלם מסך של פורטל ארגוני ולקבל תוך שניות קוד מלא של אתר מתחזה הכולל אדמין פאנל לאיסוף סיסמאות. הדבר מעלים לחלוטין את שגיאות הכתיב והניסוחים העילגים שהיו סימני ההיכר של התקפות בעבר.

מבחינתי, הלקח המרכזי מהשיחה הוא שלא ניתן להילחם בטכנולוגיות AI ללא שילוב מנועי AI הגנתיים המבינים את עומק הקונפליקט. השינוי התפיסתי בארגונים מחייב מעבר מגישה חוסמת ומפחדת לגישה של Exposure Management אקטיבית, שממפה את הסיכונים עוד לפני ההפעלה בפרודקשן. מפתחים ואנשי Data Science הופכים לארכיטקטים של בטיחות, ונדרשים להבין לא רק איך לאמן מודלים, אלא איך לייצר סביבם מעטפת Guardrails קשיחה.

לפרק המלא ולכל הפרטים, האזינו כאן.

לצפייה בפרק המלא ביוטיוב, לחצו כאן.