איך מגנים על המכשירים והמתקנים הרגישים ביותר בעולם? ראיון בלעדי עם בן משיח מחברת Claroty

כחלק מסדרת הפרקים לקראת כנס CyberML, אירחתי את בן משיח, דירקטור דאטה ו-AI בחברת Claroty. חברת Claroty נחשבת לאחת השחקניות הוותיקות והמובילות בתחום אבטחת סייבר למערכות פיזיות-סייבר (Cyber-Physical Systems). השיחה איתו סיפקה הצצה מרתקת לאופן שבו אלגוריתמים מתקדמים של למידת מכונה (Machine Learning) ובינה מלאכותית (AI) מגנים על התשתיות הקריטיות ביותר – החל מזרועות רובוטיות במפעלי ייצור רכב, דרך ציוד רפואי בבתי חולים ועד לתשתיות קירור בדאטה סנטרים. סקרן אותי להבין איך בונים ארכיטקטורת דאטה בעולם שבו מחיר הטרנספורמציה או הטעות אינו רק זליגת מידע, אלא נזק פיזי וקינטי של ממש.

האתגר ההנדסי שבתוך הדאטה: התמודדות עם Long Tail והטרוגניות קיצונית

כששאלתי את בן על סוגי הנתונים שעוברים בפייפלין (Pipeline) של Claroty, הוא הסביר לי שהאתגר המרכזי נובע מהגיוון וממבנה הזנב הארוך (Long Tail) של הרכיבים ברשת. לצד רכיבי קצה שכיחים כמו מכשירי iPhone או מחשבים ניידים קלאסיים, המערכת נדרשת למפות חיישנים נישתיים המודדים איכות אוויר, מכשירי MRI, זרועות רובוטיות של יצרניות כמו KUKA או FANUC, ומערכות בקרת אקלים (HVAC) בדאטה סנטרים. חומר הגלם ההנדסי מגוון בצורה יוצאת דופן וכולל דפי HTML, קבצי טקסט בלתי מובנים (Textual Blobs), פורטים, פרוטוקולי תקשורת תעשייתיים, ונתונים קטגוריאליים ונומריים.

הופתעתי לגלות את מורכבות העבודה תחת חוסרים מבניים בדאטה (Deployment Styles). לצורך איסוף המידע והשגת נראות מלאה (Visibility) ברשת, המערכת נשענת על שתי שיטות עיקריות: בחינת חבילות מידע עמוקה (Deep Packet Inspection / DPI) המייצרת עותק של התעבורה בזמן אמת ומנתחת את הדינמיקה בין הרכיבים, לצד תשאול אקטיבי (Active Queries) המפוקח על ידי מנגנון אורקסטרציה (Orchestration) חכם. מנגנון זה מתשאל רכיבים בפרוטוקולים ייעודיים מבלי להעמיס על הרשת או לסכן רכיבים רגישים. בעיניי, היכולת לייצר דיגיטל טווין (Digital Twin) מדויק מתוך חומרי גלם כה פראיים ומקוטעים היא אבן פינה הנדסית בבניית קו הגנה יעיל.

המנגנון האלגוריתמי שמאחורי הקלעים: זיהוי ישויות ישיר וסיווג גבולי

מה שריתק אותי במיוחד בדיון הטכני היה הקושי האלגוריתמי להבחין בין מכשירים שנראים כמעט זהים ברמת המטא-דאטה והפרוטוקולים. בן שיתף אותי בכך שעד לרמת התחקור האחרונה, קשה מאוד להבחין ברשת בין קונסולת Xbox לבין רובוט ניתוחי מורכב מסוג Da Vinci. שניהם משתמשים בפרוטוקולי תקשורת מודרניים, מעבירים נתונים בסטנדרטים דומים ומציגים תעבורה שעלולה להטעות מודלי קלאסיפיקציה פשוטים. כדי לפתור זאת, המערכת של Claroty לא מסתפקת בסיווג שטחי, אלא מבצעת זיהוי ישויות מנוהל (Named Entity Recognition / NER) שמטרתו לחלץ מתוך ה-Raw Data פרטים גראנולריים כמו מספר סידורי, גרסת מערכת ההפעלה (OS) והדגם המדויק.

נדהמתי לראות עד כמה החברה נשענת על שילוב הדוק בין מדעני דאטה לבין מומחי תוכן (Subject Matter Experts / SMEs) מעולמות הסייבר וההנדסה התעשייתית. בן תיאר תהליך שבו מומחה התוכן מציע מניפולציה ייחודית על קבצי הטקסט, חילוץ פיצ'רים ספציפיים וביצוע האשינג (Hashing) ליצירת טכניקת טביעת אצבע חדשנית (Novel Fingerprinting Technique). התוצר שעובר האשינג אינו קריא לאדם (Non-Human Readable), אך הוא מוזן ישירות לתוך מודלי הקלאסיפיקציה. הפרשנות שלי לכך היא שבבעיות סיווג בעולם האמיתי (Open World Classification), מודלים חזקים ככל שיהיו אינם יכולים להחליף את האינטואיציה ההנדסית והבנת הדומיין.

ארכיטקטורה אג'נטית בחזית האבטחה: מניתוח סמנטי לאופרציה אקטיבית

כשצוללים לעומק השימוש במודלי שפה גדולים (LLMs) בעולמות ה-OT וה-Cyber-Physical, בן הסביר שהערך הגדול אינו טמון רק בייצוג וקטורי סמנטי של נכסים, אלא בהקמת מערכי אג'נטים (Agentic AI) מרובי סוכנים. השימוש במודלים בודדים מוגבל לחיזוי הטוקן הבא, אך כאשר מייצרים דיאלוג מובנה בין כמה סוכנים בעלי תפקידים שונים – תוך יישום מתודולוגיה המזכירה דיאלוג פילוסופי מורכב – מתקבלת יכולת הסקה טכנית שלא ניתן להשיג בריצה יחידה.

במהלך הראיון, בן חשף את הסוכן האוטונומי של החברה, "Clar". המערכת נבנתה כ-Pipeline אג'נטי המרכז ומנגיש את כל הידע הצבור (Cumulative Knowledge) של מומחי החברה במחלקות השונות. מטרת האג'נט אינה רק לספק דוחות אחזור מידע (Retrieval) או מענה לשאילתות מורכבות של משתמשים, אלא לבצע פעולות אופרטיביות (Operational Execution) ברשת – כמו הגדרת מדיניות אבטחה (Security Policy) או חלוקת מקטעים (Segmentation) אוטומטית. האימפקט ההנדסי כאן הוא אדיר: המערכת עוקפת את שלב הראייה הטיפוסית של דשבורדים נייחים ועוברת לאכיפה פרואקטיבית בזמן אמת.

המודל העסקי והאיומים החדשים: מניזוק קינטי ועד לגניבת כוח חישוב בדאטה סנטרים

לקראת סיום הראיון, דנו בשינוי התפיסתי שעוברים ארגונים כתוצאה מהורדת רף הכניסה (Barrier to Entry) של תוקפים בעקבות הנגשת כלי AI מתקדמים ומודלים כמו Claude 3.5 Sonnet. בן ציין כי הלקוחות כיום מבינים שתקיפות סייבר אינן מוגבלות רק לזליגת מידע (Data Breach), אלא עלולות לגרום לנזק פיזי ישיר או לפגיעה ברציפות טיפולית בבתי חולים.

תובנה מרתקת נוספת שעלתה בשיחה נוגעת לסיכוני הסייבר הייחודיים של דאטה סנטרים. בשונה ממפעלים שבהם התוקף שואף להשבית את קו הייצור, בדאטה סנטרים לתוקפים יש תמריץ כלכלי עצום להישאר לא מזוהים לאורך זמן כדי לחלוב משאבים. ניצול של 10% משאבי מעבד (CPU), כרטיסים גרפיים (GPU) או אגורגציית קו תקשורת לטובת כריית מטבעות או אימון מודלים חיצוניים מהווה איום כלכלי ותפעולי ראשון במעלה. לפיכך, גישת האבטחה משתנה מחיפוש חולשות וטלאים (Patching) בלבד להגדרה קשיחה של נקודת ייחוס התנהגותית (Baseline) וחסימה אקטיבית של שירותים מיותרים ברמת הרשת.

מבט לעתיד

השיחה עם בן משיח ממחישה כי עולם אבטחת הסייבר לתשתיות פיזיות אינו יכול להסתמך עוד על פתרונות מדף או על כללים דטרמיניסטיים פשוטים. השינוי התפיסתי בתעשייה מחייב מעבר למערכות הלומדות את הרשת באופן רציף, מסוגלות לפעול בסביבות אנומליות ומקשרות בין דאטה סמנטי גולמי לבין לוגיקה אג'נטית. עבור מנהלים, מפתחים ואנשי AI, הלקח המרכזי הוא שבניית מערכות AI לבעיות בעולם האמיתי מחייבת שילוב הדוק של מומחי דומיין, כלי אנליזה מתקדמים ויכולת אכיפה אקטיבית בפרודקשן.

לפרק המלא ולכל הפרטים, האזינו כאן.

לצפייה בפרק יוטיוב, לחצו כאן.