משבר אבטחת קוד בינה מלאכותית: 31.6% מהקוד שנוצר על ידי AI ניתן לניצול

חמשת אתגרי הסייבר של פיתוח מונחה AI

מחקר של הפורום הכלכלי העולמי, צ'ק פוינט (Check Point), IOActive וגופי סייבר מרכזיים אחרים הצביע על סט של סיכונים מובחנים ומדידים שנוצרו על ידי פיתוח תוכנה בסיוע AI.

1. קוד AI בר-ניצול. הערכת IOActive לשנת 2026 מצאה כי 31.6% מדגימות קוד AI ניתנות לניצול מלא — כלומר תוקף יכול להצליח לפרוץ למערכת תוך ניצול הפגיעות. כלי אבטחה מסורתיים מזהים רק חלקית את הפגמים הללו . דו"ח 2026 של Aikido מצא ש-69% מהארגונים נתקלו בפגיעויות מקוד AI, ו-1 מכל 5 סבל מתקרית אבטחה חמורה כתוצאה מכך .

2. מהירות העולה על מודלי אבטחה. מחקר של צ'ק פוינט מדווח ש-AI מסוגל כעת להגיב על קוד מספיק טוב כדי לייצר ניצולים עובדים בהיקף, תוך צמצום חלונות התגובה לפגיעות ל-12–72 שעות — ירידה ממסגרת הזמן המסורתית של ימים . צוותי אבטחה המשתמשים בתהליכי סקירה בקצב אנושי אינם יכולים לעמוד בקצב מחזורי פיתוח במהירות מכונה.

3. אובדן הקשר סיכון. כלי סריקה קיימים רבים יכולים לזהות פגיעויות בודדות, אך חסרה להם הבנה של אילו שינויים באמת חשובים לעסק, לאיזו סביבה הם מיועדים ואיזה סיכון הם נושאים . זה מוביל לעייפות התראות ולתעדוף שגוי.

4. חשיפה רגולטורית. סקר Global Cybersecurity Outlook 2026 של הפורום הכלכלי העולמי מצא ש-87% ממנהיגי האבטחה זיהו פגיעויות הקשורות ל-AI כסיכון הסייבר הצומח ביותר במהלך 2025 . גרטנר מעריכה שעד 2027, מעל 40% מפרצות המידע הקשורות ל-AI ינבעו משימוש לא נכון ב-GenAI . ארגונים הפועלים תחת GDPR, SOC 2 או רגולציות ספציפיות לתעשייה עומדים כעת בפני לחץ גובר להוכיח שהעריכו קוד שנוצר על ידי AI.

5. Shadow AI וסיכוני שרשרת אספקה. וקטורי תקיפה פעילים כוללים כעת הזרקת פרומפטים (prompt injection), חשיפת מידע רגיש דרך כלי AI, ופשרה של שרשרת אספקת AI — שם מוחדרות דלתות אחוריות למודלים או לתלות מורעלת . Deloitte מזהה Shadow AI — שימוש לא מפוקח בכלי AI על ידי עובדים — כאחד הסיכונים הפנימיים הדחופים ביותר .

כיצד פועלת פלטפורמת ניהול סיכוני השינוי של Cytix

Cytix ממקמת את הפלטפורמה שלה כ"שכבת החלטה אבטחתית" שיושבת בין מחזור חיי פיתוח התוכנה (SDLC) לבין פונקציות הסיכון, האבטחה והציות . במקום להוסיף כלי סריקה נוסף לערימה, היא פועלת כנקודת בקרה שדרכה עובר כל שינוי תוכנה — מבינה את השינוי, מחליטה על פעולת האבטחה, מאמתת את הסיכון ומספקת את שובל הראיות לרגולטורים . הפלטפורמה פועלת בארבעה שלבים:

נראות בזמן אמת. Cytix מנטרת ברציפות כל שינוי תוכנה — כרטיסים (tickets), בקשת משיכה (pull requests), דיפי קוד (code diffs) ושחרורים (releases) — וקוראת כל אחד מהם להקשר: הנכס, הסביבה וההיסטוריה. היא שומרת על גרף ידע מתמשך של נוף המערכת כך שצוותים יכולים לראות אילו שינויים נושאים סיכון אמיתי ברגע שהם מופיעים .

הערכת סיכונים מיידית. במקום להתייחס לכל שינוי באותו אופן, הפלטפורמה מכמתת מה קרה וקובעת את התגובה המידתית — בין אם זה אומר הקשר נוסף, סקירת אבטחה, מודל איום או בדיקה ספציפית. שינויים בסיכון נמוך יכולים לקבל אישור אוטומטי; בסיכון גבוה יקבלו את הבדיקה המתאימה .

אימות ופעולה מודרכים. הפלטפורמה מיישמת את התגובה הנכונה — בהובלת AI, בסקירה אנושית או באמצעות שותפים מבוססים כמו NCC Group ו-KPMG — כך ששום דבר מסוכן לא מתקדם ללא טיפול מתאים .

ראיות לציות. כל החלטה, פעולה ותוצאה מקובעות לצמיתות לשינוי שהפעיל אותן, ויוצרות תיעוד ביטחון מחובר אחד. צוותי ממשל, סיכון וציות יכולים להוכיח אילו שינויים הוערכו, מה נעשה ומי היה אחראי — לפי דרישה, לא תחת לחץ .

למה זה חשוב עכשיו

בן ארמסטרונג (Ben Armstrong), מנכ"ל Cytix, מנסח את הבעיה בפשטות: "כלים קיימים יכולים לומר לך אילו פגיעויות יש לך, אבל לא יכולים לומר לך על הסיכון. השקנו את פלטפורמת ניהול סיכוני השינוי של Cytix כדי לקבל שליטה על הסיכון הזה" .

הגישה של הפלטפורמה — מודעת להקשר, מבוססת סיכונים ומייצרת ראיות — משקפת שינוי רחב יותר בתעשיית הסייבר. ככל שיצירת קוד AI ממשיכה להאיץ, הפער בין מהירות הפיתוח להבטחת אבטחה הוא שדה הקרב החדש. עם 7 מיליון דולר בסדרה A, Cytix מהמרת שארגונים ישלמו עבור שכבת מדיניות וראיות סביב כל שינוי, כאשר חברות ייעוץ מבוססות מספקות הפצה ואמון .

עבור מנהיגי אבטחה, הנתונים ברורים: כמעט אחת מכל שלוש דגימות קוד AI היא ניתנת לניצול מלא, וחלון התגובה נמדד בשעות, לא בימים. השאלה כבר אינה האם פיתוח מואץ AI יוצר סיכון, אלא האם מודל האבטחה שלך בנוי להתמודד איתו.

מאמר זה פורסם ב-13 באוגוסט 2026. הוא עודכן כדי לשקף את הודעת הגיוס מ-12 באוגוסט 2026.