איך בונים את ה-AI Hacker האולטימטיבי? ראיון בלעדי עם עופרי זיו מחברת Tenzai

פרק נוסף בפודקאסט של MDLI, יצא לאור במסגרת כנס CyberML, והפעם אירחתי את עופרי זיו, מייסד-שותף בסטארטאפ Tenzai וממייסדי Guardicore לשעבר, שנרכשה בעבר על ידי Akamai. השיחה איתו עסקה בשינוי הדרמטי שמתרחש בעולם אבטחת המידע: כאשר סוכני בינה מלאכותית מייצרים כמויות עצומות של קוד בקצב חסר תקדים, צץ צוואר בקבוק מרכזי בארגונים – היכולת לבדוק, לאתגר ולבחון את חדירות המערכות בקצב שבו הקוד נכתב ומופץ. ציפיתי להבין ממנו איך רותמים Large Language Models כדי לבנות סוכן תוקף אוטונומי (AI Hacker) ואילו אתגרים הנדסיים מורכבים עומדים מאחורי הרעיון הזה.

הבעיה בשטח: צוואר הבקבוק של בדיקות החדירות בעולם האג'נטי

כששאלתי את עופרי על המקור לרעיון להקים את Tenzai, הוא הסביר את הפער המבני שקיים בעולם בדיקות החדירות (Penetration Testing). באופן מסורתי, ארגונים נסמכים על צוותים אנושיים פנימיים או חברות ייעוץ חיצוניות כדי לבצע בדיקות חדירות (Penetration Testing). הבעיה היא שאותם האקרים בצד ההתקפי (Red Teaming) מהווים משאב מצומצם, יקר ונדיר מאוד בשוק. בעולם שבו כלי Coding Agents מייצרים אלפי שורות קוד בדקה ומעלים גרסאות ב-Continuous Integration ו-Continuous Deployment (CI/CD) בתדירות גבוהה, רמת האבטחה אינה משתפרת באופן מקביל. נוצר פער שבהגדרה אינו פתיר באמצעות כוח אדם אנושי, ונדרש פתרון אג'נטי המסוגל לפעול בהיקף (Scale) רציף 24/7 ללא הפסקה.

סקרן אותי להבין האם עצם הנגשת מודלי השפה אינה הופכת את המשימה לטריוויאלית, אך עופרי הבהיר כי סריקת קוד פשוטה אינה מספקת את הערך הנדרש מאנשי אבטחה. כלים קלאסיים של ניתוח קוד סטטי (Static Application Security Testing – SAST) מציפים כמות עצומה של התראות, שרובן False Positives שיוצרות עומס ניהולי. הערך האמיתי של בדיקת חדירות (Penetration Testing) טמון בהוכחת הניצול (Exploitability) בפועל, כאשר הסוכן לא רק מצביע על שורת קוד חשודה, אלא מדגים באופן מעשי כיצד ניתן לחדור למערכת, להוציא מידע רגיש או לחקוף מנגנוני הרשאה.

המנגנון שמאחורי הקלעים: Context Management, היפותזות וניצול חולשות

הופתעתי לגלות כיצד הסוכן של Tenzai ניגש למשימת התקיפה בצורה הוליסטית. במקום להסתמך אך ורק על ניתוח סטטי, הסוכן מבצע אינטראקציה דינמית מול האפליקציה החיה במקביל לניתוח ארכיטקטורת הקוד. תהליך העבודה של הסוכן מורכב ממספר שלבים הנדסיים מובנים:

• מיפוי ולמידת הקשר (Context Management): הסוכן סורק את ה-Endpoints, מנתח את ה-APIs, מזין עדכונים, מפעיל אלמנטים בגרפיקת המשתמש ולומד את הלוגיקה העסקית. ניהול ההקשר (Context Management) הוא קריטי; המערכת לומדת האם היא פועלת מול אפליקציה בנקאית, מערכת ניהול משאבי אנוש או פלטפורמת מסחר, ומעדכנת את ציפיות ההתנהגות של המערכת בהתאם.
• ייצור היפותזות ולידים (Leads Generation): על בסיס ניתוח הקוד וההתנהגות בזמן אמת, הסוכן מפיק היפותזות עבודה לגבי כשלים פוטנציאליים.
• בניית שרשרת תקיפה (Exploit Chain): הסוכן מתכנן ומבצע שרשרת פעולות (Exploit Chain) מורכבת במטרה להוכיח ניצול יציב, כגון מעקף של אימות דו-שלבי (Two-Factor Authentication), פריצת מנגנוני Access Control, או ביצוע Double Spend במערכות סליקה.

החלק המעניין ביותר עבור אנשי Data Science הוא הטיפול בבאגים לוגיים (Logical Bugs). בשונה מפרצות קלאסיות של אי-סניטציה של קלט (כמו SQL Injection או Cross-Site Scripting), באגים לוגיים דורשים הבנה עמוקה של התהליך העסקי. מודלים בעלי חלון הקשר (Context Window) נרחב של מעל 1,000,000 טוקנים, כדוגמת Claude 3.5 Sonnet, Gemini 1.5 Pro או GPT-4o, מאפשרים להחזיק בזיכרון את כלל קוד המקור לצד מצב המערכת בזמן אמת, ולזהות סתירות לוגיות מורכבות בין התכנון לביצוע.

מעקות בטיחות (Guardrails) למניעת הרס בסביבות אמת

כשעברנו לדון בסיכונים של הרצת סוכן אוטונומי התקפי מול סביבות אמת (Production), גילית  את היקף ההנדסה הנדרש סביב מעקות הבטיחות (Guardrails). מטבעם, מודלי שפה שמתודלקים ב-System Prompts אגרסיביים המנחים אותם "לחפש אנומליות, למתוח גבולות ולאתגר את המערכת", עלולים להפגין התנהגות בלתי צפויה ולבצע פעולות הרסניות כמו הרצת שאילתות DELETE FROM על דאטאבייסים או הצפת השרתים בעומס שגרם ל-Denial of Service (DoS).

כדי להתמודד עם אתגר זה, Tenzai פיתחה ארכיטקטורת מעטפת (Harness) שכוללת בקרות דטרמיניסטיות לצד נקודות בדיקה (Checkpoints) בזמן אמת:

• Guardrails דטרמיניסטיים: ניתוח פקודות ושאילתות ברמת המעטפת לפני שליחתן למערכת, תוך סינון פקודות המוגדרות כקריטיות או הרסניות.
• הערכת סיכונים דינמית: הזרקת התראות ואזהרות לזיכרון של הסוכן כאשר הוא מתקרב לניצול נתיב קצה מסוכן, במטרה להסיט אותו לעבר הוכחת יכולת קונספטואלית ללא ביצוע הנזק בפועל.
• הפרדת סביבות: התאמת רמת האגרסיביות של הסוכן בין סביבות ניסוי (Staging) לבין סביבות Production, תוך שמירה על יצירתיות התקפית מרבית בסביבות הסטריליות.

הארכיטקטורה ההתקפית: מודלי מדף למול Fine-Tuning והערכת ביצועים

כשצללנו לצדדים הטכנולוגיים של המודלים עצמם, התרשמתי מהגישה האגנוסטית של Tenzai לגבי מודלי הבסיס. עופרי ציין כי החברה אינה מתבססת על מודל יחיד, אלא בונה שכבת תפעול (Orchestration Framework) שיודעת לנצל את החזקות של מודלים שונים ברשת. יציאה של מודל חדש לשוק, כמו גרסאות מתקדמות של Claude או GPT, מהווה עבורם הזדמנות לשדרג את יכולות הסוכן באופן מיידי.

נושא מרכזי שריתק אותי היה שיטות ההערכה (Evaluations) וה-Benchmarking של הסוכן. הנדסת סוכנים (Agentic Engineering) בתחום מורכב כזה דורשת מדידה מדויקת כדי למנוע נסיגה ביכולות (Regressions). לשם כך, Tenzai מקימה סביבות Enterprise סינתטיות פנימיות – החל מסימולטורים של מערכות בנקאיות ועד מערכות ניהול עובדים – ומזריקה לתוכן חולשות מוכרות ברמות קושי שונות.

כדי לבחון את היכולות מול העולם האמיתי, Tenzai רשמה את הסוכן האוטונומי לתחרויות Capture The Flag (CTF) בינלאומיות, בהן התמודדו עשרות אלפי האקרים אנושיים. הסוכן הצליח להגיע ל-Top 1% מכלל המתמודדים! ניתוח הביצועים הראה חלוקה מעניינת: בעוד שהאדם מפגין עליונות במציאת פרצות דרך אינטואיציה קיצונית וניסיון ייחודי, הסוכן הציג עליונות ביכולת לחבר נקודות הקשר מרוחקות בקוד, בביצוע סריקות שיטתיות ללא עייפות ובבדיקת תרחישי קצה (Edge Cases) שאדם סביר היה פוסל מראש מתוך הנחה ש"אין סיכוי שזה יעבוד".

מסוכן תוקף לתיקון אוטומטי (Remediation) ו-Virtual Patching

לסיום, עופרי הבהיר כי חשיפת הפרצה היא רק מחצית מהפתרון. בעיה מרכזית בארגונים כיום היא הזמן החולף מרגע גילוי החולשה ועד לתיקונה בפועל (Time to Remediate). Tenzai פיתחה מענה דו-שכבתי לבעיה זו:

• קונטקסטואליזציה לסוכני קידוד: הסוכן ההתקפי מייצר דוח טכני מפורט הכולל את מיקום הבאג בקוד המקור, הקשר הפעילות והוכחת ניצול (PoC). דוח זה מוזרק באופן ישיר לסוכני קידוד (Coding Agents) או למפתחים, מה שמאפשר תיקון מדויק בשורש הבעיה ללא יצירת באגים חדשים.
• Virtual Patching בזמן אמת: מכיוון שתיקון קוד, בדיקתו ודחיפתו ל-Production עשויים לקחת ימים או שבועות, הסוכן מסוגל ליצור אינטראקציה ישירה מול מוצרי האבטחה הקיימים בארגון (כגון Web Application Firewall – WAF). הסוכן מחולל חוקי חסימה אוטומטיים שמנטרלים את נתיב התקיפה הספציפי ברמת הרשת, ומספק הגנה מיידית עד להפצת התיקון המלא בקוד.

סיכום ומבט לעתיד

השיחה עם עופרי הבהירה לי שבעולם שבו קוד נכתב ומופץ בקצב מסחרר, מנהלי אבטחת מידע (CISOs) לא יכולים להמשיך לשחק תפקיד של "שוטר מעכב" שבולם את החדשנות הארגונית. היכולת להריץ סוכנים התקפיים אוטונומיים באופן רציף משנה את מאזן הכוחות: מנהלי האבטחה הופכים מגורם חוסם למאפשרי צמיחה (Enablers), שיכולים לאשר שחרור גרסאות מהיר בביטחון מלא. המעבר של התעשייה משימוש ב-AI ככלי עזר נקודתי למפתחים אל עבר עידן של סוכנים אוטונומיים התקפיים והגנתיים הפועלים במקביל, הוא שינוי תפיסתי בלתי נמנע. ארגונים שלא יאמצו סוכני AI לבדיקת חדירות (Penetration Testing) ולמענה מהיר, ימצאו את עצמם חשופים מול תוקפים שמנצלים בדיוק את אותם הכלים האוטונומיים.

לצפייה בפרק המלא, לחצו כאן.

להאזנה באפל או בפודבין.