איך בונים סוכני AI מאובטחים לארגונים בסקייל? ראיון בלעדי עם גבריאל כהן, מייסד NanoClaw

בפרק פודקאסט Hidden Layers אירחתי את גבריאל כהן, מייסד ו-CEO של חברת NanoClaw. גבריאל, שעלה לישראל מניו יורק, בעל רקע במדעי המחשב ופיזיקה מאוניברסיטת תל אביב ושימש במשך 7 שנים כמפתח תוכנה ב-Wix, מביא עמו ניסיון ייחודי המשלב פיתוח תוכנה עמוק לצד עבודה מול חברות תשתיות דאטה ו-AI מובילות כמו Pinecone ו-Run:ai. בשיחה המעמיקה איתו צללנו אל מאחורי הקלעים של פרויקט הקוד הפתוח הוויראלי שפיתח, אשר צבר עשרות אלפי כוכבים ב-GitHub, ודנו בדרכים שבהן ניתן לקחת סוכני AI אוטונומיים מבוססי קוד ולהפוך אותם למערכות יציבות, מאובטחות ומוכנות לפרודקשן (Production-Ready) בארגונים.

מ-OpenClaw לסביבת ריצה רציפה: הארכיטקטורה שמאחורי סוכני AI אוטונומיים

כששאלתי את גבריאל מה הוביל אותו מלכתחילה לפתח את NanoClaw, הוא שיתף אותי בתהליך שהתחיל בחיפוש אחר פתרון שיחבר את כל זרימות העבודה (Workflows) של סוכנות ה-AI שהקים. הוא החל להתנסות בפרויקט הקוד הפתוח OpenClaw, וחיבר אותו באמצעות אפליקציית המסרים WhatsApp לתקיית קבצים מקומית שהכילה את כל המידע העסקי של החברה. הופתעתי לגלות עד כמה מהר המערכת הפכה מסוכן ניתוח פשוט למנוע שמנהל אקטיבית את כל צינור המכירות (Sales Pipeline): הסוכן תיזמן לעצמו משימות יומיומיות (Scheduled Tasks), חילק משימות בין חברי הצוות, ועבד מול עדכונים שוטפים שהוזרמו אליו.

הסבר טכני מפורט של המנגנון שחשף גבריאל מראה כי הליבה של סוכן AI אפקטיבי אינה רק המודל עצמו, אלא השילוב של סוכן כתיבת קוד (Coding Agent) כדוגמת Claude Code או Codex עם סביבת ריצה רציפה (Persistent Environment). בשונה מסשן בצ'אט רגיל שנמחק בסיום השיחה, בסביבה רציפה לסוכן יש גישה מתמדת למערכת קבצים (File System). הסוכן מסוגל לכתוב סקריפטים ב-Bash, להתקין ספריות קוד דרך NPM, להגדיר לעצמו משימות מתזומנות באמצעות Cron, ולבנות בעצמו כלים חדשים שנשמרים לאורך זמן.

סקרן אותי להבין עד כמה הסוכנים הללו מסוגלים להפגין אוטונומיה אמיתית בשטח. גבריאל הציג דוגמה קונקרטית מתוך ניסוי ביתי: אשתו ביקשה מהסוכן לעקוב אחר מחירי עגלות תינוק באתרי מסחר שונים. הסוכן לא הסתפק בתשובה חד-פעמית, אלא הגדיר לעצמו באופן עצמאי ג'וב מתזמן הרץ בכל בוקר ב-09:00, פותח דפדפן באמצעות כלי אוטומציה מבוססי Puppeteer, שואב את נתוני המחירים, משווה אותם לנתונים ההיסטוריים ששמר במערכת הקבצים, ושולח התראה באפליקציית המסרים רק בעת ירידת מחיר. הפרשנות שלי למהלך הזה היא שאנחנו עוברים משימוש ב-AI ככלי שאילתות סביל למערכות פרואקטיביות שמנהלות לולאות עבודה עצמאיות לחלוטין.

אתגרי אבטחה בסוכנים אישיים: Sandboxing ובידוד מוחלט באמצעות Docker

במהלך הראיון חזרנו לנקודה שמעסיקה כמעט כל מנהל אבטחת מידע וארכיטקט תוכנה: סיכוני האבטחה המובנים בהרצת סוכנים בעלי הרשאות גישה רחבות. גבריאל שיתף אותי בכך שבעת שחקר את הלוגים של OpenClaw במחשבו האישי, הוא נדהם לגלות כי כל הודעות הוואטסאפ מכל הקבוצות הפרטיות במכשיר נשמרו בטקסט גלוי (Plain Text), גם כאשר הסוכן חובק לקבוצה ספציפית אחת בלבד. ניתוח הסייבר שהציג הדגיש את הסכנה שבמנגנוני ארגז חול (Sandboxing) ברמת האפליקציה, שכן חסימות בקוד יישומי ניתנות לעקיפה בקלות יחסית, בשונה מחסימות ברמת מערכת ההפעלה.

הדגמנו בשיחה את הטרגיות של הטרייד-אוף הזה באמצעות מקרה הבוחן המפורסם של ראש תחום בטיחות AI (Head of AI Safety) בחברת Meta, אשר הסוכן האוטונומי שלה מחק את כל תיבת הדואר הנכנס (Inbox) שלה תוך כדי תנועה, מבלי שהייתה לה אפשרות לעצור אותו עד לנתוק פיזי של המחשב מהחשמל. במענה לאתגרים הללו, הארכיטקטורה של NanoClaw מושתתת על בידוד מוחלט באמצעות מכולות (Containers) של Docker. כל סוכן AI, בין אם הוא מיועד ללקוח מסוים בגישת Multi-tenant ובין אם למשימה ארגונית מוגדרת, רץ בתוך קונטיינר נפרד לחלוטין.

המשמעות ההנדסית של תכנון זה היא בידוד מלא: לכל סוכן מוצמד File System נפרד דרך Mount מוגדר מראש, זיכרון מבודד, ותהליך ריצה שאינו מסוגל לגשת למשאבי המכונה המארחת (Host Machine) או לסוכנים מקבילים. כמי שמייעץ לארגונים גדולים בנושאי אבטחה, ציינתי בפני גבריאל כי כשתשתיות אג'נטים אינן מאובטחות ברמת החומרה ומערכת ההפעלה, מנהלי טכנולוגיה לא יוכלו לקחת את הסיכון התפעולי של פריסת סוכנים בפרודקשן, והפתרון של בידוד באמצעות Docker מספק את מעטפת ההגנה הנדרשת.

ניהול הרשאות מתקדם: Vault, Proxies ו-Human-in-the-Loop בפרודקשן

כששאלתי את גבריאל כיצד הם מונעים זליגת מפתחות API ומבטיחים בקרת פעולות קריטיות בסביבות ארגוניות, הוא הציג ארכיטקטורת אבטחה מתקדמת המבוססת על הפרדת רשויות מלאה. בתוך הקונטיינר שבו רץ הסוכן, אין שום סודות או מפתחות API Keys. במקום זאת, המערכת משתמשת ברכיב כספת (Vault) חיצוני וברכיב מתווך (Proxy) המנטר את כל התקשורת היוצאת מהקונטיינר.

כאשר הסוכן מבצע קריאת HTTP לרשת החיצונית, הבקשה עוברת דרך ה-Proxy. ה-Proxy בודק מול ה-Vault האם לסוכן הספציפי יש הרשאה מוגדרת למשאב המבוקש (כגון GitHub או ספק ענן), ורק במידה והבקשה אושרה, ה-Proxy מדביק את מפתח ה-API החיצוני וממשיך את הצינור. במידה והסוכן מנסה לבצע פעולה בעלת אימפקט גבוה – דוגמת ביצוע Push לרפוזיטורי פרטי או שינוי הגדרות בסיס נתונים – נכנס לתוקף מנגנון אישור אנושי (Human-in-the-Loop Approval).

המנגנון מקפיא את בקשת ה-Network ברמת ה-Proxy בזמן אמת, ושולח כרטיס אישור (Approval Card) לאיש הצוות המורשה באפליקציית המסרים. רק לאחר לחיצה אקטיבית על אישור, ה-Proxy משחרר את הקריאה ומאפשר לסוכן להמשיך בפעולתו. הופתעתי לגלות עד כמה המודל הזה מפחית את מרחב התקיפה (Attack Surface): הסוכן אינו פועל מכוח הנחיות מילוליות (System Prompts) בלבד – שלעולם אינן דטרמיניסטיות וחשופות להזרקת פרומפטים (Prompt Injection) – אלא כפוף לחסמים קשיחים בתוך תשתית הרשת והאבטחה הארגונית.

ארכיטקטורה מינימליסטית ושימוש ב-Skills להרחבת יכולות ללא Code Bloat

נקודה מרתקת נוספת שעסקה בהרחבת המערכת הייתה הפילוסופיה ההנדסית של NanoClaw. בעוד שפרויקטים מקבילים בקטגוריה מתנפחים במהירות למאות אלפי שורות קוד ועשרות תלויות צד-שלישי (Dependencies), גבריאל בחר לגשת לאתגר מתוך תפיסה מינימליסטית: בניית הליבה ביומיים של כתיבת קוד אינטנסיבית, שמירה על כ-20 קבצי קוד מרכזיים בלבד, והתבססות על חיבור רזה דרך ספריות כמו Grammy עבור Telegram או ממשקי WebSocket.

במקום לאפשר לכל מפתח להוסיף קוד מנופח לתוך ה-Codebase הראשי של הפרויקט, הקהילה מפתחת מיומנויות (Skills). סקיל הוא למעשה קובץ הנחיות ממוקד המיועד ל-Coding Agent של הסוכן, המלמד אותו בזמן אמת כיצד להרחיב את היכולות של עצמו – למשל, כיצד להחליף את רכיב התקשורת מ-WhatsApp ל-Telegram או כיצד לשלב כלי ניתוח קבצים מסוג NanoPDF.

התפיסה הזו משכה את תשומת ליבו של אנדריי קרפתי (Andrej Karpathy), מדען ה-AI המוביל וממייסדי OpenAI, אשר צייץ על NanoClaw והצביע עליה כדוגמה מייצגת לזן חדש של תוכנות מותאמות אישית (Custom / Minimalist Agent Software). בעקבות האזכור של קרפתי, הפרויקט חווה נסיקה מטאורית:

• גידול מ-2,000 כוכבים ל-8,000, 10,000, וכיום מעל 28,000 כוכבים ב-GitHub.
• הקמת קהילת מפתחים פעילה המונה מעל 4,500 חברים בערוץ ה-Discord.
• מקרה בוחן ייחודי של שר החוץ של סינגפור (רופא עיניים בהכשרתו), אשר ביצע Fork לפרויקט, שילב בו ארכיטקטורת זיכרון מבוססת LMs, והעלה ל-GitHub Gist תרשים ארכיטקטורה של "מוח שני" (Second Brain) המשמש אותו לכתיבת נאומים, מחקר וניתוח מסמכים דיפלומטיים.

תובנה זו הבהירה לי כי העתיד של פיתוח תוכנה אינו נשען על קוד קשיח שנכתב מראש עבור כל תרחיש, אלא על תשתיות ליבה רזות המאפשרות לסוכני AI להרחיב את מנעד היכולות של עצמם באופן מבוקר.

מניהול סוכן יחיד לצי סוכנים ארגוני: מבט לעתיד של Agentic Workflows

הדיון עם גבריאל הבהיר כי שוק ה-AI עבר באופן סופי מהשלב של ניסויים נקודתיים בצ'אטבוטים לשלב של פריסת צי סוכנים (Agent Fleets / Swarms) הרצים בסביבות מבודדות. החברה שהקים, המונה כיום 8 עובדים אנושיים לצד עשרות סוכני AI פעילים, מייצגת סוג חדש של ארגונים שבהם לכל עובד קים סוכן אישי המבצע דלגציה מלאה של משימות מורכבות.

במבט לעתיד, השילוב של סוכנים אוטונומיים בתוך ארגונים אינו מתמצה רק בסיוע אישי למנהלים, אלא בהשתלבות ישירה בצינורות ה-CI/CD, ניטור שגיאות בזמן אמת דרך Sentry, ניהול בסיסי נתונים ועיבוד אוטומטי של לידים במערכות CRM. השינוי התפיסתי הנדרש מאנשי Data Science, מפתחים ומנהלי טכנולוגיה הוא להפסיק לנסות לבלום או להגביל את הסוכן ברמת הפרומפט הבודד, ובמקום זאת לספק לו סביבת ריצה מבודדת (Isolated Environment) שבה הוא יכול לפעול באופן עצמאי לחלוטין, תוך אכיפת גבולות גזרה קשיחים ברמת התשתית, ה-Proxy וההרשאות הארגוניות.

הלקח המרכזי שלי מהשיחה הוא שכדי לייצר ערך עסקי אמיתי מסוכני AI, אנחנו חייבים לבנות את התשתיות ההנדסיות הנכונות – פשוטות, שקופות ומאובטחות מן היסוד.

לפרק המלא ולכל הפרטים, האזינו כאן.

לצפייה בפרק יוטיוב, לחצו כאן.