Tego AI חושפת פרצת אבטחה קריטית ב-Claude Tag ב-Slack

הוא פועל במצב "אמביינטי" (סביבתי): עוקב ברציפות אחר שיחות, לומד את הקשר הערוץ, ומתערב ביוזמתו כדי לסמן עדכונים או להעלות משימות ^MM. ההרשאות שלו מוגדרות לערוץ בו הוא נמצא, ולא למשתמש בודד. זה מאפשר למנהלים להגדיר סטים שונים של כלים, גישה לנתונים ומגבלות הוצאה על בסיס כל ערוץ בנפרד ^SDR.

מאחורי הקלעים, כל סשן של Claude Tag רץ על מודל Opus 4.8 בתוך מכונה וירטואלית מיניאטורית (microVM) מנוהלת על ידי Anthropic. האישורים להתחברות למערכות חיצוניות נשמרים מחוץ ל-VM, הגישה לרשת עוברת פרוקסי, והכלים הם לקריאה בלבד לצורך בידוד ^D. השימוש בערוץ מחויב לארגון בתעריפי API, ולא לפי משתמש, מה שהופך את מודל התמחור הארגוני המסורתי ^SD.

השלכות רחבות יותר על אבטחת סוכני AI ארגוניים

הממצא של Tego AI אינו עומד בפני עצמו. הוא מצטרף לשני אירועים מרכזיים נוספים מאמצע 2026, החושפים יחד משבר באבטחת סוכני AI ארגוניים.

מנגנון המעקב הנסתר של Claude Code

ב-30 ביוני 2026, חוקר עצמאי בשם "Thereallo" ביצע הנדסה הפוכה ל-Claude Code וגילה קוד JavaScript מוסתר שביצע טביעת אצבע למיקום הגיאוגרפי של משתמשים (באמצעות בדיקות אזור זמן) ושינה את ההנחיות המערכתיות (system prompts) באמצעות תווי Unicode דמויי-מראה – גרש מסולסל במקום ישר, לוכסן במקום קו – כדי ליצור סימן מעקב סמוי שזוהה על ידי השרתים של Anthropic ^RAA. מסד הנתונים הלאומי לפגיעויות של סין (NVDB) פרסם התראת אבטחה רשמית על "דלת אחורית" ב-8 ביולי, המכסה את גרסאות Claude Code 2.1.91 עד 2.1.196 ^RW. ענקית האי-קומרס הסינית עליבאבא (Alibaba) אסרה על השימוש ב-Claude Code בארגון זמן קצר לאחר מכן ^I. Anthropic כינתה זאת "ניסוי נגד ניצול לרעה" והסירה את המנגנון ב-1 ביולי ^M.

פגיעויות מערכתיות בפרוטוקול MCP

תשתית פרוטוקול ה-MCP (Model Context Protocol), שעליה מתבססים Claude Tag וסוכני AI רבים אחרים, נמצאה ככוללת כשלי תכנון מערכתיים. ממצאים מרכזיים מ-2026:

• כשל במימוש הייחוס (reference implementation) של MCP המבצע פקודות מערכת ללא ניקוי (sanitization) חשף כ-200,000 מופעי MCP פגיעים בשרשרת אספקה של מעל 150 מיליון הורדות חבילות תוכנה ^L.
• סריקה של 560 שרתי MCP מצאה ל-38% אין אימות זהות (authentication), 43% מה-CVE כרוכים בהזרקת פקודות מעטפת (exec() או shell injection), ו-13% כרוכים במעבר נתיבים (path traversal) ^D.
• התגלו סוגי פגיעויות חדשים, ובהם "פגיעויות מבוססות הזיה" (Hallucination-Based Vulnerabilities, HBVs), שבהן תיאורי כלים מעורפלים גורמים למודל השפה להעניק לעצמו הרשאות יתר או לבצע פעולות לא מכוונות ^G.
• הודגמו הרעלת כלים (Tool Poisoning), התקפות "משיכת שטיח" (Rug Pull) ו-צללית בין-שרתים (Cross-Server Shadowing) במערכת ה-MCP, כולל הוכחת היתכנות (PoC) שבה סוכנות Cursor IDE נפרצה לחלוטין דרך MCP ^M.

מה זה אומר לארגונים

ארגונים הפרוסים Claude Tag וכלי AI סוכנותיים דומים עומדים בפני איום משולש: משטחי תקיפה של הזרקת הנחיות (prompt injection) בשכבת ההפעלה של הסוכן (ממצא Tego AI), מעקב צד-ספק אטום בכלי הסוכן (גשש Claude Code), ותשתיות ברירת מחדל לא מאובטחות במערכת ה-MCP המחברת בין סוכנים, כלים ונתונים.

כשלי ניהול זהות וגישה (IAM) מתרחבים במהירות כאשר לסוכן קבוע כמו Claude Tag יש גישה רחבה לכלים וניתן להפעילו באמצעות אזכורים מזויפים ^MG. ניהול API מסורתי אינו מספיק לזרימות עבודה סוכנותיות, מכיוון שסוכנים אינם פועלים לפי מודלי הרשאות פר-משתמש או דפוסי בקשה-תגובה ^M. הסיכון בשרשרת האספקה הוא עצום: פגיעות במימוש הייחוס של MCP מתפשטת לכל הפצה במורד הזרם ^ML. שקיפות וביקורתיות נותרות בעיות קריטיות – גשש Claude Code הוסתר בקוד JavaScript ממוזער (minified) והתגלה רק על ידי הנדסה הפוכה חיצונית, מה שאומר שצוותי האבטחה הארגוניים אינם יכולים להסתמך על חשיפה עצמית של הספק ^RAA.

הסלמה רגולטורית כבר בעיצומה, כאשר ה-NVDB הסיני פרסם התראות ברמה ממשלתית וארגונים כמו עליבאבא פרסמו איסורים מוחלטים ^RWI. התמונה המשולבת היא שאבטחת סוכני AI ארגוניים ב-2026 דורשת גישה חדשה לחלוטין – כזו המתייחסת לסוכנים קבועים כתשתית קריטית הדורשת בקרות זהות, גישה ושרשרת אספקה קפדניות.

נקודות עיקריות

• הפעלה ניתנת לזיוף: Claude Tag מגיב לטקסט המילולי @Claude גם ממקורות אוטומטיים, מה שמאפשר התקפות הזרקה ^G.
• ארכיטקטורת פעילות תמידית: Claude Tag הוא עמית AI קבוע, בעל היקף ערוץ, הרץ על Opus 4.8 בתוך microVM, עם חיוב בתעריפי API ^MSDD.
• איום משולש: פרצת Tego AI מצטרפת לגשש הנסתר של Claude Code ולכשלי תשתית מערכתיים של MCP לכדי נוף סיכונים חמור לארגונים ^MRL.
• דרושים בקרות פרואקטיביות: יש להגביל גישה לפי ערוץ, לבקר פעולות סוכן, לשדרג למפרט MCP 2026 ולבצע סקירות אבטחה סדירות ^LT.