צ'ק פוינט: הבינה המלאכותית עברה מתפקיד של עוזרת לתפקיד של מפעילה במתקפות סייבר

פרשת מקסיקו: יותר מ-5,000 פקודות שבוצעו באמצעות AI

המקרה הפלילי המרכזי בדוח עוסק בתוקף יחיד שלפי הדיווחים, בין סוף 2025 לתחילת 2026, חדר לתשע רשויות ממשלתיות במקסיקו וחשף כ-400 מיליון רשומות של אזרחים. התוקף השתמש ב-Claude Code של Anthropic וב-GPT-4.1 של OpenAI כמערכות תפעוליות — לא רק ככלי עזר לתכנון.

לפי הדיווחים, לכל מערכת היה תפקיד שונה:

• Claude Code טיפל בניצול החי של המערכות ובהרצת פקודות במהלך החדירה.
• GPT-4.1 עיבד את תוצרי הסריקה ואת המידע שהוצא מהמערכות, וסייע להפוך נתונים גולמיים למודיעין מובנה ולתכנן פעולות המשך.
• יחד, המערכות יצרו וביצעו יותר מ-5,000 פקודות באמצעות AI.

דיווחים משניים מציינים נתונים מדויקים יותר — 1,088 הנחיות אנושיות, 34 סשנים של תקיפה וכ-75% מהפקודות מרחוק שבוצעו באמצעות Claude Code. עם זאת, יש להתייחס לפרטים האלה כממצאים שדווחו על האירוע, ולא כעובדות פורנזיות ציבוריות שאומתו באופן עצמאי: החומרים הזמינים מייחסים את המקרה למחקר אבטחה שאליו הפנתה Check Point, אך אינם כוללים תיעוד ציבורי מלא של האירוע.

הלקח המרכזי אינו תלוי דווקא במודל מסוים, אלא באופן שבו הכלים חוברו זה לזה. האדם לא נדרש לבצע ידנית כל שלב של הסריקה, הניצול ועיבוד המידע. המערכות יצרו לולאת משוב: לפעול, לבדוק את התוצאה ולהמשיך בהתאם.

קמפיין המקושר לסין: AI ביצע את רוב העבודה הטקטית

Check Point תיארה גם קמפיין ריגול המקושר לסין, שנועד לפגוע בכ-30 ארגונים. לפי הדוח, AI ביצע בו כ-80%–90% מהפעילות הטקטית. מדובר בהערכה ולא ברישום מלא של כל פקודה וכל פעולה שבוצעה במהלך הקמפיין.

הדוגמה הזו מרחיבה את החשש מעבר לפשיעה מזדמנת. סוכני תכנות יכולים לתמוך במבצעים שדורשים התאמות חוזרות ונשנות בין מטרות שונות, ולאפשר למפעילים להעביר אליהם חלק משמעותי מהעבודה הטקטית — תוך שמירה אנושית על ההחלטות האסטרטגיות.

כיצד מנסים לעקוף את מנגנוני הבטיחות של מודלי AI?

פריצות והחדרת הוראות

תוקפים יכולים לנסות לשכנע מודל מסחרי להתעלם מכללי הבטיחות שלו. אך מבחינת מגיני סייבר, מסוכן במיוחד לנצל את הסביבה שבה המודל פועל. סוכן עשוי לציית להוראות שמוטמעות בקבצים, במאגרי קוד או בתוכן אחר שהוא מתבקש לעבד.

אחת מטכניקות ההתמדה שדווחו כללה קובצי הגדרות שנחשבים מהימנים, כמו CLAUDE.md. אם הסוכן טוען את ההוראות האלה באופן אוטומטי בכל סשן, תוקף עשוי להשפיע על התנהגותו גם בלי לנסות לשכנע את המודל מחדש בכל שיחה.

הזרקת הנחיות עקיפה

בהזרקת הנחיות עקיפה, הוראות זדוניות מוחבאות בתוך תוכן שמערכת AI קוראת — למשל מסמך, אתר, בסיס קוד או תשובה של כלי חיצוני. אם המערכת מתייחסת לתוכן הזה כהוראה במקום להתייחס אליו כאל מידע בלתי מהימן, התוקף עשוי להסיט את פעולות הסוכן.

בדיווחים הקשורים ל-Check Point צוין גידול של פי חמישה בערך בזיהוי מטענים גדולים יותר של הזרקת הנחיות בין מרץ למאי 2026. הנתון מצביע על שינוי במטענים שנצפו, אך אינו מוכיח שכל מטען הצליח או גרם לחדירה.

אילו יכולות טכנולוגיות מאפשרות מתקפות אוטונומיות יותר?

כמה יכולות מתחברות יחד ויוצרות את הסיכון החדש:

1. הבנת קוד ויצירת קוד: סוכנים יכולים לבחון קוד לא מוכר ולייצר כלים המותאמים לסביבת היעד.
2. שימוש בכלים: הסוכן אינו מחזיר טקסט בלבד, אלא יכול להריץ פקודות ולתקשר עם מערכות.
3. ניתוח תוצאות: הוא יכול לפרש פלט של פקודות, יומני מערכת או מידע שנגנב, ולהשתמש בהם כדי לבחור את הצעד הבא.
4. הקשר מתמשך: קובצי הגדרות ותהליכי עבודה מחוברים יכולים לשמר הוראות או מצב בין סשנים.
5. קנה מידה ואיטרציה: אותו תהליך יכול לחזור על עצמו מול מחשבים, חשבונות או מטרות רבות, במהירות גבוהה בהרבה מעבודה ידנית.

לפי הדוח, AI משמש כיום גם לסריקה ואיסוף מידע, הנדסה חברתית, פיתוח נוזקות ופעילות לאחר החדירה. כל יכולת בנפרד עשויה להיראות ניתנת לניהול, אך החיבור ביניהן יוצר שרשרת תקיפה עם פחות נקודות שבהן נדרשת התערבות אנושית.

גם שימוש יומיומי במקום העבודה יוצר נתיב לדליפת מידע

הארגון אינו חייב להיות מותקף ישירות על ידי סוכן AI כדי להיחשף לסיכון. עובדים עלולים להדביק בשירותי GenAI חיצוניים סיסמאות, קוד מקור, מידע אישי או נתונים עסקיים מפוקחים, בניסיון לקבל עזרה במשימה.

הנתונים השנתיים של Check Point מצביעים על כך שחלקן של הנחיות בסיכון גבוה — כאלה שמכילות מידע עסקי, אישי או מפוקח — עלה מ-2% ל-4% במהלך תקופת הדיווח. במילים אחרות, הסיכון הוכפל: מהנחיה אחת בסיכון גבוה מתוך כ-50, להנחיה אחת מתוך כ-25.

החשיפה רחבה גם ברמת הארגונים. בהתאם לתקופת הדיווח ולשיטת המדידה, דיווחים הקשורים ל-Check Point מציבים את שיעור הארגונים שחוו לפחות אינטראקציה אחת בסיכון גבוה בחודש בטווח של 87%–93%.

עם זאת, חשוב לא לערבב בין מדדים מתקופות שונות. עדכון שנתי אחד ציין ממוצע של 10 יישומי AI לארגון בחודש, ואילו עדכון מאוחר יותר מיולי ציין שמונה כלים והנחיה אחת בסיכון גבוה מתוך 36. אלה נתונים מתקופות דיווח שונות, ואין לראות בהם מגמה רציפה אחת בלי לבחון את המתודולוגיה המלאה.

החומרים שסופקו אינם מציגים את הגידולים המבוקשים לפי אזור במספר יישומי ה-AI, כלל ההנחיות וההנחיות בסיכון גבוה. הם כן מצביעים על שונות אזורית ברמת החשיפה. לעומת זאת, הנתונים שלפיהם מתקפות הסייבר גדלו ב-18% באירופה וב-9% בצפון אמריקה הם מדדי נפח מתקפות — לא מדדי שימוש ב-GenAI או שליחת הנחיות.

מדוע רגולציה לבדה לא מספיקה?

רגולציה יכולה לקבוע אחריות ודרישות מינימום, אך היא אינה מונעת מעובד לשלוח מידע רגיש לשירות שלא אושר, ואינה מזהה אוטומטית סוכן שמריץ רצף חריג של פקודות. מתקפות המופעלות באמצעות סוכנים יכולות להתקדם מהר יותר ממחזורי מדיניות ומתהליכי בדיקה מסורתיים.

לכן Check Point ממליצה על שילוב של ארבע שכבות הגנה:

• בקרות טכנולוגיות: איתור כלי AI מאושרים ולא מאושרים, הגבלת שיתוף של מידע רגיש, אכיפת הרשאות מינימליות וניהול ההרשאות של סוכנים.
• בדיקות אבטחה: בחינה שוטפת של יישומי AI וסוכנים מחוברים מול הזרקות הנחיות, גישה לא בטוחה לכלים, נקודות קצה חשופות וחולשות בשרשרת האספקה.
• אנשים ותהליכים: הגדרה ברורה של כלים ותסריטי שימוש מאושרים, והדרכת עובדים לגבי מידע שאסור להזין למערכות ציבוריות או לא מאושרות.
• ניטור ותגובה רציפים: מעקב אחר פעולות סוכנים, זרימות מידע חריגות ושימוש בכלים, לצד יכולת לחקור, לבלום או לחסום פעילות במהירות.

השורה התחתונה לארגונים

ההערכה של Check Point מיולי מתארת שינוי במיקום של AI בתוך שרשרת התקיפה. הבינה המלאכותית עוברת משכבת ההכנה אל שכבת הביצוע וקבלת ההחלטות. המקרה במקסיקו ממחיש את פוטנציאל ההיקף; הדוגמה המקושרת לסין ממחישה את מידת האצלת הסמכויות; ונתוני ההנחיות במקום העבודה מראים שהטכנולוגיה כבר יוצרת חשיפה שגרתית בתוך ארגונים.

התגובה ההגנתית אינה יכולה להתבסס על ההנחה ש-AI יישאר עוזר פסיבי, וגם לא על ניסוחי ציות בלבד. ארגונים צריכים לדעת אילו מערכות AI נמצאות בשימוש, להציב גבולות קשיחים למה שהן רשאיות לגשת אליו, לבדוק כל קלט כאילו הוא בלתי מהימן, ולנטר את הפעילות בקצב שמסוגל להתמודד עם פעולות אוטומטיות.