הגבול הדק בין סוכן בינה מלאכותית לסודות הארגון: דליפת ה-Claude Code והאיום המתרחב
מיקרוסופט חשפה כי ה Claude Code GitHub Action של Anthropic עלול היה להיות מרומה להדליף סודות CI/CD כמו מפתחות API, עקב אי התאמה בארגז החול (Sandbox) בין כלי ה Read לכלים אחרים [23]. המתקפה ניצלה את הגישה הישירה והלא מאובטחת של כלי ה Read לקובץ /proc/self/environ – קובץ לינוקס רגיש החושף את כל משתני הסביבה של התהליך...
פורסם על ידינערך באמצעות DeepSeek-V4-Proהתמונות נוצרו באמצעות GPT Image 1.5
מיקרוסופט חשפה כי ה Claude Code GitHub Action של Anthropic עלול היה להיות מרומה להדליף סודות CI/CD כמו מפתחות API, עקב אי התאמה בארגז החול (Sandbox) בין כלי ה Read לכלים אחרים [23].
המתקפה ניצלה את הגישה הישירה והלא מאובטחת של כלי ה Read לקובץ /proc/self/environ – קובץ לינוקס רגיש החושף את כל משתני הסביבה של התהליך – בעוד שכלי ביצוע אחרים היו מבודדים כהלכה [23].
במקביל, פרסם צוות ה AI Red Team של מיקרוסופט עדכון משמעותי לטקסונומיית הכשלים במערכות AI סוכניות, והוסיף שבע קטגוריות חדשות כמו 'חטיפת מטרות' (Goal Hijacking) ו'זיהום הקשר סשן' (Session Context Contamination), על בסיס...
What vulnerability did Microsoft Threat Intelligence disclose on June 5, 2026, in Anthropic's Claude Code GitHub Action, how did the promptThe Claude Code flaw showed that an agent's tool boundary is only as strong as its weakest, least-sandboxed point of access.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What vulnerability did Microsoft Threat Intelligence disclose on June 5, 2026, in Anthropic's Claude Code GitHub Action, how did the prompt. Article summary: On **June 5, 2026**, Microsoft Threat Intelligence disclosed that Anthropic's Claude Code GitHub Action could leak CI/CD secrets via prompt injection when the AI agent processed untrusted GitHub issues, PRs, or comments . Topic tags: general, academic, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "A security researcher found a flaw in Anthropic's Claude Code GitHub Action that let an attacker take over vulnerable public repositories running it, with nothing more than a singl" source context "Claude Code GitHub Action Flaw Let One Malicious Issue Hijack ..." Reference image 2: visual subject "A sec
openai.com
בתחילת יוני 2026, מיקרוסופט פרסמה אזהרה חריפה לכל צוותי הפיתוח: הגבול בין סוכן בינה מלאכותית לסודות שהוא יכול לגשת אליהם דק בהרבה ממה שנהוג לחשוב. הפרסום שלהם פירט כיצד ניתן לנצל כלי נפוץ ב-GitHub Action של Claude Code מבית Anthropic כדי להדליף אישורי CI/CD קריטיים, והדגים שמודל האבטחה לעולם הסוכני דורש תשומת לב אובססיבית לפרטים.
איך דלפו הסודות מכלי ה-Claude Code GitHub Action
הפגיעות, שנחשפה על ידי צוות ה-Threat Intelligence של מיקרוסופט ב-5 ביוני 2026, לא הייתה פריצת כלא מורכבת. זה היה כשל גבולות בסיסי באופן שבו כלים שונים בתוך הסוכן היו מבודדים זה מזה .
Claude Code, כשהופעל כ-GitHub Action, יכול היה לעבד תוכן לא מהימן מבקשות משיכה (Pull Requests), דיווחי באגים (Issues) ותגובות. כדי למנוע מהנחיות זדוניות בתוכן הזה להריץ פקודות, Anthropic הטמיעו ניקוי משתני סביבה לכלי ה-"Bash" שלהם, תוך שימוש בטכניקות בידוד כמו Bubblewrap כאשר זרימות העבודה יכולות להיות מופעלות על ידי משתמשים חיצוניים .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "הגבול הדק בין סוכן בינה מלאכותית לסודות הארגון: דליפת ה-Claude Code והאיום המתרחב"?
מיקרוסופט חשפה כי ה Claude Code GitHub Action של Anthropic עלול היה להיות מרומה להדליף סודות CI/CD כמו מפתחות API, עקב אי התאמה בארגז החול (Sandbox) בין כלי ה Read לכלים אחרים [23].
What are the key points to validate first?
מיקרוסופט חשפה כי ה Claude Code GitHub Action של Anthropic עלול היה להיות מרומה להדליף סודות CI/CD כמו מפתחות API, עקב אי התאמה בארגז החול (Sandbox) בין כלי ה Read לכלים אחרים [23]. המתקפה ניצלה את הגישה הישירה והלא מאובטחת של כלי ה Read לקובץ /proc/self/environ – קובץ לינוקס רגיש החושף את כל משתני הסביבה של התהליך – בעוד שכלי ביצוע אחרים היו מבודדים כהלכה [23].
What should I do next in practice?
במקביל, פרסם צוות ה AI Red Team של מיקרוסופט עדכון משמעותי לטקסונומיית הכשלים במערכות AI סוכניות, והוסיף שבע קטגוריות חדשות כמו 'חטיפת מטרות' (Goal Hijacking) ו'זיהום הקשר סשן' (Session Context Contamination), על בסיס...
הגבול הדק בין סוכן בינה מלאכותית לסודות הארגון: דליפת ה-Claude Code והאיום המתרחב
מיקרוסופט חשפה כי ה Claude Code GitHub Action של Anthropic עלול היה להיות מרומה להדליף סודות CI/CD כמו מפתחות API, עקב אי התאמה בארגז החול (Sandbox) בין כלי ה Read לכלים אחרים [23]. המתקפה ניצלה את הגישה הישירה והלא מאובטחת של כלי ה Read לקובץ /proc/self/environ – קובץ לינוקס רגיש החושף את כל משתני הסביבה של התהליך...
פורסם על ידינערך באמצעות DeepSeek-V4-Proהתמונות נוצרו באמצעות GPT Image 1.5
מיקרוסופט חשפה כי ה Claude Code GitHub Action של Anthropic עלול היה להיות מרומה להדליף סודות CI/CD כמו מפתחות API, עקב אי התאמה בארגז החול (Sandbox) בין כלי ה Read לכלים אחרים [23].
המתקפה ניצלה את הגישה הישירה והלא מאובטחת של כלי ה Read לקובץ /proc/self/environ – קובץ לינוקס רגיש החושף את כל משתני הסביבה של התהליך – בעוד שכלי ביצוע אחרים היו מבודדים כהלכה [23].
במקביל, פרסם צוות ה AI Red Team של מיקרוסופט עדכון משמעותי לטקסונומיית הכשלים במערכות AI סוכניות, והוסיף שבע קטגוריות חדשות כמו 'חטיפת מטרות' (Goal Hijacking) ו'זיהום הקשר סשן' (Session Context Contamination), על בסיס...
What vulnerability did Microsoft Threat Intelligence disclose on June 5, 2026, in Anthropic's Claude Code GitHub Action, how did the promptThe Claude Code flaw showed that an agent's tool boundary is only as strong as its weakest, least-sandboxed point of access.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What vulnerability did Microsoft Threat Intelligence disclose on June 5, 2026, in Anthropic's Claude Code GitHub Action, how did the prompt. Article summary: On **June 5, 2026**, Microsoft Threat Intelligence disclosed that Anthropic's Claude Code GitHub Action could leak CI/CD secrets via prompt injection when the AI agent processed untrusted GitHub issues, PRs, or comments . Topic tags: general, academic, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "A security researcher found a flaw in Anthropic's Claude Code GitHub Action that let an attacker take over vulnerable public repositories running it, with nothing more than a singl" source context "Claude Code GitHub Action Flaw Let One Malicious Issue Hijack ..." Reference image 2: visual subject "A sec
openai.com
בתחילת יוני 2026, מיקרוסופט פרסמה אזהרה חריפה לכל צוותי הפיתוח: הגבול בין סוכן בינה מלאכותית לסודות שהוא יכול לגשת אליהם דק בהרבה ממה שנהוג לחשוב. הפרסום שלהם פירט כיצד ניתן לנצל כלי נפוץ ב-GitHub Action של Claude Code מבית Anthropic כדי להדליף אישורי CI/CD קריטיים, והדגים שמודל האבטחה לעולם הסוכני דורש תשומת לב אובססיבית לפרטים.
איך דלפו הסודות מכלי ה-Claude Code GitHub Action
הפגיעות, שנחשפה על ידי צוות ה-Threat Intelligence של מיקרוסופט ב-5 ביוני 2026, לא הייתה פריצת כלא מורכבת. זה היה כשל גבולות בסיסי באופן שבו כלים שונים בתוך הסוכן היו מבודדים זה מזה .
Claude Code, כשהופעל כ-GitHub Action, יכול היה לעבד תוכן לא מהימן מבקשות משיכה (Pull Requests), דיווחי באגים (Issues) ותגובות. כדי למנוע מהנחיות זדוניות בתוכן הזה להריץ פקודות, Anthropic הטמיעו ניקוי משתני סביבה לכלי ה-"Bash" שלהם, תוך שימוש בטכניקות בידוד כמו Bubblewrap כאשר זרימות העבודה יכולות להיות מופעלות על ידי משתמשים חיצוניים .
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "הגבול הדק בין סוכן בינה מלאכותית לסודות הארגון: דליפת ה-Claude Code והאיום המתרחב"?
מיקרוסופט חשפה כי ה Claude Code GitHub Action של Anthropic עלול היה להיות מרומה להדליף סודות CI/CD כמו מפתחות API, עקב אי התאמה בארגז החול (Sandbox) בין כלי ה Read לכלים אחרים [23].
What are the key points to validate first?
מיקרוסופט חשפה כי ה Claude Code GitHub Action של Anthropic עלול היה להיות מרומה להדליף סודות CI/CD כמו מפתחות API, עקב אי התאמה בארגז החול (Sandbox) בין כלי ה Read לכלים אחרים [23]. המתקפה ניצלה את הגישה הישירה והלא מאובטחת של כלי ה Read לקובץ /proc/self/environ – קובץ לינוקס רגיש החושף את כל משתני הסביבה של התהליך – בעוד שכלי ביצוע אחרים היו מבודדים כהלכה [23].
What should I do next in practice?
במקביל, פרסם צוות ה AI Red Team של מיקרוסופט עדכון משמעותי לטקסונומיית הכשלים במערכות AI סוכניות, והוסיף שבע קטגוריות חדשות כמו 'חטיפת מטרות' (Goal Hijacking) ו'זיהום הקשר סשן' (Session Context Contamination), על בסיס...
עם זאת, לכלי ה-"Read" – שמאפשר למודל לצפות בתוכן של קבצים – לא היה בידוד כזה. הוא פעל כקריאת פונקציה בתוך התהליך עם גישה ישירה ולא מאובטחת לכל מערכת הקבצים, כולל קובץ הפסאודו הרגיש של לינוקס /proc/self/environ, שחושף את כל משתני הסביבה של התהליך .
מתקפה יכולה הייתה להתבצע בכמה צעדים דיסקרטיים:
תוקף פותח דיווח באג (Issue) או בקשת משיכה (Pull Request) תמים לכאורה במאגר ציבורי שמשתמש ב-Claude Code GitHub Action.
גוף הדיווח או תגובת HTML מכילים הנחיות לסוכן ה-AI, בלתי נראות לסוקר אנושי שסורק את הדף.
כאשר זרימת העבודה מופעלת, מודל ה-AI מעבד את התוכן כחלק מההקשר שלו ועוקב אחר ההנחיות המוטמעות לקרוא את הקובץ /proc/self/environ.
לאחר מכן ניתן להנחות את המודל להוציא את המידע החוצה, למשל על ידי פרסום שלו בחזרה בתגובה. החוקרים ציינו שיפור שבו המתקפה הסירה את שבעת התווים הראשונים (sk-ant-) ממפתח ה-ANTHROPIC_API_KEY כדי להימנע מזיהוי על ידי סורקי סודות אוטומטיים .
משטח תקיפה זה – שבו הנחיות בשפה טבעית המוזרקות לנתונים הופכות לפקודות ברות-ביצוע – הוא הליבה של הזרקת הנחיות (Prompt Injection), וקטור איום שמגדיר במהירות את נוף האבטחה עבור סוכני AI.
טלאי מקדים: ציר הזמן של החשיפה
פרט קריטי הוא שזו הייתה חשיפה מתואמת שבה התיקון הגיע קודם.
5 במאי 2026: Anthropic שחררה את Claude Code 2.1.128, אשר הפחית את הפגיעות על ידי התאמת ארגז החול של כלי ה-Read לניקוי הסביבה שכבר יושם בנתיבי ביצוע אחרים .
5 ביוני 2026: מיקרוסופט פרסמה את ניתוח האיומים המפורט שלה, תוך שימוש במקרה הבוחן כדי לספק המלצות אבטחה דחופות לכל התעשייה .
מעבר לבאג בודד: שבע דרכים חדשות שבהן מערכות AI סוכניות נכשלות
חשיפת ה-Claude Code נחתה על רקע הערכת אבטחה מקיפה יותר. יום קודם לכן, ב-4 ביוני 2026, צוות ה-AI Red Team של מיקרוסופט פרסם את גרסה 2.0 של טקסונומיית כשלים במערכות AI סוכניות (Taxonomy of Failure Modes in Agentic AI Systems). עדכון גדול זה, המבוסס על שנים-עשר חודשים של תחקירי תקיפה אמיתיים נגד סוכנים פעילים, הוסיף שבע קטגוריות חדשות לחלוטין של כשלים, המתרחבות הרבה מעבר לפגם ביצוע קוד בודד.
מצבי הכשל החדשים מייצגים הסלמה משמעותית באופן שבו חוקרי אבטחה חושבים על מערכות AI אוטונומיות:
פשרה בשרשרת האספקה הסוכנית (Agentic Supply Chain Compromise): בניגוד למתקפות שרשרת אספקה מסורתיות שמעבירות קוד זדוני, זו כוללת תוספים, שרתי MCP או תבניות הנחיות שנפרצו, שמזריקים הנחיות בשפה טבעית כדי לשנות את התנהגות הסוכן מבלי להפעיל סורקי קוד .
חטיפת מטרה (Goal Hijacking): יריב יוצר הנחיות שנראות כמסייעות להשלים משימה לגיטימית, אך מפנות מחדש בשקט את המטרה הסופית של הסוכן. הסוכן נותר לא פגוע מנקודת מבט תוכנתית, אך נוצל כנשק לטובת מטרת התוקף .
הסלמת אמון בין סוכנים (Inter-Agent Trust Escalation): במערכות מרובות סוכנים, סוכן שנפרץ יכול לטעון לזהות בעלת אמון גבוה יותר או להרשאות מנופחות למתזמר מרכזי שאינו מאמת אותן באופן עצמאי. זוהי גרסת שפה טבעית לבעיה הקלאסית של "השליח המבולבל" (Confused Deputy) .
מתקפה חזותית על סוכן משתמש מחשב (Computer Use Agent - CUA): סוכנים המפעילים ממשקים גרפיים יכולים להיות מטופלים על ידי מידע חזותי שאינו ברור לאדם, כגון טקסט מוסתר, אלמנטים מחוץ למסך, או תמונות המטמיעות מטען של הזרקת הנחיה .
זיהום הקשר סשן (Session Context Contamination): מתקפה מתוחכמת שבה יריב מכניס מידע מוטה או זדוני בשלב מוקדם בסשן סוכן ארוך ורב-שלבי. מידע זה עשוי שלא להפעיל בקרת בטיחות באף שלב בודד, אך משחית את ההיגיון של הסוכן בפעולה עוקבת, לכאורה בלתי קשורה .
שימוש לרעה ב-MCP/תוסף (MCP / Plugin Abuse): מיקוד מעודכן במשטחי תקיפה ספציפיים לפרוטוקול ההקשר של המודל (MCP) וארכיטקטורות תוספים, שהופכים לדרך הסטנדרטית להרחבת יכולות הסוכן .
חשיפת יכולות / ארכיטקטורה (Capability / Architecture Disclosure): ניתן לגרום לסוכן עצמו להדליף פרטי תכנון פנימיים רגישים – כגון סכמות כלים, ממשקי זיכרון, או הלוגיקה שמפעילה אישור אנושי – מה שנותן לתוקף תוכנית למתקפות עתידיות ומדויקות יותר .
טקסונומיה מורחבת זו העבירה את המסגרת מ-27 מצבי הכשל המקוריים שלה ל-34, ומשקפת את המורכבות הגוברת והטביעת רגל בעולם האמיתי של מערכות סוכניות .
הקשחת צינורות CI/CD בעולם סוכני
בתגובה למקרה ה-Claude Code ועדכון הטקסונומיה הרחב יותר, מיקרוסופט תיארה סדרת המלצות אבטחה לכל צוות שמשלב סוכני AI בצינורות הבנייה (build pipelines) שלו. ההנחיות מדגישות כי בידוד חלקי הוא נוחם שקרי.
התייחסו לכל תוכן לא מהימן כווקטור הזרקה: לעולם אל תפעילו אוטומטית זרימת עבודה של סוכן AI על דיווחי באגים, בקשות משיכה או תגובות מתורמים חיצוניים. יש להתייחס לתוכן זה כקלט שעלול להיות עוין .
בדדו כלים באופן עקבי: הפער בין כלי ה-Bash המבודד לכלי ה-Read הלא-מבודד הדגים כי ניקוי משתני סביבה חייב להיות מיושם באופן אחיד. כלי אחד לא מבודד יכול לסכן זרימת עבודה שלמה .
יישמו את עקרון ההרשאה המינימלית (Least Privilege): למפתחות ה-API ואסימוני הגישה של הסוכן עצמו צריכים להיות הטווח הצר ביותר האפשרי, כדי להגביל את הנזק במקרה של חשיפה. השתמשו ב-OIDC לאישורים קצרי-טווח וממוקדי-מטרה כשניתן .
בקרו את חוויית האדם בלולאה (Human-in-the-Loop): בקרות אבטחה שתלויות בסקירה אנושית עלולות להיכשל אם מטען המתקפה מוסתר בתגובות Markdown גולמיות או HTML שהסוקר לעולם לא רואה. שלב האישור האנושי חזק רק כמו מה שנעשה גלוי לאישור .
מצאי את שרשרת האספקה של הסוכן: צוותים צריכים לייצר תצהיר רכיבי תוכנה (SBOM) עבור כל סוכן פרוס, תוך שיקוף של שקיפות שרשרת האספקה שהיא כיום סטנדרט לתוכנה מסורתית .
שזור לאורך הנחיות אלו עיקרון ארכיטקטוני מרכזי שקהילת האבטחה מכנה "כלל השתיים" (Rule of Two). הכלל, שמקורו במסגרת של Meta מאוקטובר 2025 לאבטחת סוכנים פרקטית, קובע כי סוכן צריך לעמוד בלא יותר משניים מתוך שלושת התנאים הבאים: עיבוד קלטים לא מהימנים, גישה לנתונים רגישים, ויכולת לבצע פעולות שמשנות מצב חיצוני . פרצת ה-Claude Code הייתה הפרה קלאסית של עיקרון זה, שכן הסוכן טיפל בו-זמנית בקלט מבקשת משיכה לא מהימנה והחזיק באישורים רבי-עוצמה.
עם זאת, לכלי ה-"Read" – שמאפשר למודל לצפות בתוכן של קבצים – לא היה בידוד כזה. הוא פעל כקריאת פונקציה בתוך התהליך עם גישה ישירה ולא מאובטחת לכל מערכת הקבצים, כולל קובץ הפסאודו הרגיש של לינוקס /proc/self/environ, שחושף את כל משתני הסביבה של התהליך .
מתקפה יכולה הייתה להתבצע בכמה צעדים דיסקרטיים:
תוקף פותח דיווח באג (Issue) או בקשת משיכה (Pull Request) תמים לכאורה במאגר ציבורי שמשתמש ב-Claude Code GitHub Action.
גוף הדיווח או תגובת HTML מכילים הנחיות לסוכן ה-AI, בלתי נראות לסוקר אנושי שסורק את הדף.
כאשר זרימת העבודה מופעלת, מודל ה-AI מעבד את התוכן כחלק מההקשר שלו ועוקב אחר ההנחיות המוטמעות לקרוא את הקובץ /proc/self/environ.
לאחר מכן ניתן להנחות את המודל להוציא את המידע החוצה, למשל על ידי פרסום שלו בחזרה בתגובה. החוקרים ציינו שיפור שבו המתקפה הסירה את שבעת התווים הראשונים (sk-ant-) ממפתח ה-ANTHROPIC_API_KEY כדי להימנע מזיהוי על ידי סורקי סודות אוטומטיים .
משטח תקיפה זה – שבו הנחיות בשפה טבעית המוזרקות לנתונים הופכות לפקודות ברות-ביצוע – הוא הליבה של הזרקת הנחיות (Prompt Injection), וקטור איום שמגדיר במהירות את נוף האבטחה עבור סוכני AI.
טלאי מקדים: ציר הזמן של החשיפה
פרט קריטי הוא שזו הייתה חשיפה מתואמת שבה התיקון הגיע קודם.
5 במאי 2026: Anthropic שחררה את Claude Code 2.1.128, אשר הפחית את הפגיעות על ידי התאמת ארגז החול של כלי ה-Read לניקוי הסביבה שכבר יושם בנתיבי ביצוע אחרים .
5 ביוני 2026: מיקרוסופט פרסמה את ניתוח האיומים המפורט שלה, תוך שימוש במקרה הבוחן כדי לספק המלצות אבטחה דחופות לכל התעשייה .
מעבר לבאג בודד: שבע דרכים חדשות שבהן מערכות AI סוכניות נכשלות
חשיפת ה-Claude Code נחתה על רקע הערכת אבטחה מקיפה יותר. יום קודם לכן, ב-4 ביוני 2026, צוות ה-AI Red Team של מיקרוסופט פרסם את גרסה 2.0 של טקסונומיית כשלים במערכות AI סוכניות (Taxonomy of Failure Modes in Agentic AI Systems). עדכון גדול זה, המבוסס על שנים-עשר חודשים של תחקירי תקיפה אמיתיים נגד סוכנים פעילים, הוסיף שבע קטגוריות חדשות לחלוטין של כשלים, המתרחבות הרבה מעבר לפגם ביצוע קוד בודד.
מצבי הכשל החדשים מייצגים הסלמה משמעותית באופן שבו חוקרי אבטחה חושבים על מערכות AI אוטונומיות:
פשרה בשרשרת האספקה הסוכנית (Agentic Supply Chain Compromise): בניגוד למתקפות שרשרת אספקה מסורתיות שמעבירות קוד זדוני, זו כוללת תוספים, שרתי MCP או תבניות הנחיות שנפרצו, שמזריקים הנחיות בשפה טבעית כדי לשנות את התנהגות הסוכן מבלי להפעיל סורקי קוד .
חטיפת מטרה (Goal Hijacking): יריב יוצר הנחיות שנראות כמסייעות להשלים משימה לגיטימית, אך מפנות מחדש בשקט את המטרה הסופית של הסוכן. הסוכן נותר לא פגוע מנקודת מבט תוכנתית, אך נוצל כנשק לטובת מטרת התוקף .
הסלמת אמון בין סוכנים (Inter-Agent Trust Escalation): במערכות מרובות סוכנים, סוכן שנפרץ יכול לטעון לזהות בעלת אמון גבוה יותר או להרשאות מנופחות למתזמר מרכזי שאינו מאמת אותן באופן עצמאי. זוהי גרסת שפה טבעית לבעיה הקלאסית של "השליח המבולבל" (Confused Deputy) .
מתקפה חזותית על סוכן משתמש מחשב (Computer Use Agent - CUA): סוכנים המפעילים ממשקים גרפיים יכולים להיות מטופלים על ידי מידע חזותי שאינו ברור לאדם, כגון טקסט מוסתר, אלמנטים מחוץ למסך, או תמונות המטמיעות מטען של הזרקת הנחיה .
זיהום הקשר סשן (Session Context Contamination): מתקפה מתוחכמת שבה יריב מכניס מידע מוטה או זדוני בשלב מוקדם בסשן סוכן ארוך ורב-שלבי. מידע זה עשוי שלא להפעיל בקרת בטיחות באף שלב בודד, אך משחית את ההיגיון של הסוכן בפעולה עוקבת, לכאורה בלתי קשורה .
שימוש לרעה ב-MCP/תוסף (MCP / Plugin Abuse): מיקוד מעודכן במשטחי תקיפה ספציפיים לפרוטוקול ההקשר של המודל (MCP) וארכיטקטורות תוספים, שהופכים לדרך הסטנדרטית להרחבת יכולות הסוכן .
חשיפת יכולות / ארכיטקטורה (Capability / Architecture Disclosure): ניתן לגרום לסוכן עצמו להדליף פרטי תכנון פנימיים רגישים – כגון סכמות כלים, ממשקי זיכרון, או הלוגיקה שמפעילה אישור אנושי – מה שנותן לתוקף תוכנית למתקפות עתידיות ומדויקות יותר .
טקסונומיה מורחבת זו העבירה את המסגרת מ-27 מצבי הכשל המקוריים שלה ל-34, ומשקפת את המורכבות הגוברת והטביעת רגל בעולם האמיתי של מערכות סוכניות .
הקשחת צינורות CI/CD בעולם סוכני
בתגובה למקרה ה-Claude Code ועדכון הטקסונומיה הרחב יותר, מיקרוסופט תיארה סדרת המלצות אבטחה לכל צוות שמשלב סוכני AI בצינורות הבנייה (build pipelines) שלו. ההנחיות מדגישות כי בידוד חלקי הוא נוחם שקרי.
התייחסו לכל תוכן לא מהימן כווקטור הזרקה: לעולם אל תפעילו אוטומטית זרימת עבודה של סוכן AI על דיווחי באגים, בקשות משיכה או תגובות מתורמים חיצוניים. יש להתייחס לתוכן זה כקלט שעלול להיות עוין .
בדדו כלים באופן עקבי: הפער בין כלי ה-Bash המבודד לכלי ה-Read הלא-מבודד הדגים כי ניקוי משתני סביבה חייב להיות מיושם באופן אחיד. כלי אחד לא מבודד יכול לסכן זרימת עבודה שלמה .
יישמו את עקרון ההרשאה המינימלית (Least Privilege): למפתחות ה-API ואסימוני הגישה של הסוכן עצמו צריכים להיות הטווח הצר ביותר האפשרי, כדי להגביל את הנזק במקרה של חשיפה. השתמשו ב-OIDC לאישורים קצרי-טווח וממוקדי-מטרה כשניתן .
בקרו את חוויית האדם בלולאה (Human-in-the-Loop): בקרות אבטחה שתלויות בסקירה אנושית עלולות להיכשל אם מטען המתקפה מוסתר בתגובות Markdown גולמיות או HTML שהסוקר לעולם לא רואה. שלב האישור האנושי חזק רק כמו מה שנעשה גלוי לאישור .
מצאי את שרשרת האספקה של הסוכן: צוותים צריכים לייצר תצהיר רכיבי תוכנה (SBOM) עבור כל סוכן פרוס, תוך שיקוף של שקיפות שרשרת האספקה שהיא כיום סטנדרט לתוכנה מסורתית .
שזור לאורך הנחיות אלו עיקרון ארכיטקטוני מרכזי שקהילת האבטחה מכנה "כלל השתיים" (Rule of Two). הכלל, שמקורו במסגרת של Meta מאוקטובר 2025 לאבטחת סוכנים פרקטית, קובע כי סוכן צריך לעמוד בלא יותר משניים מתוך שלושת התנאים הבאים: עיבוד קלטים לא מהימנים, גישה לנתונים רגישים, ויכולת לבצע פעולות שמשנות מצב חיצוני . פרצת ה-Claude Code הייתה הפרה קלאסית של עיקרון זה, שכן הסוכן טיפל בו-זמנית בקלט מבקשת משיכה לא מהימנה והחזיק באישורים רבי-עוצמה.
microsoft.comSecuring CI/CD in an agentic world: Claude Code Github action case
thehackernews.comClaude Code GitHub Action Flaw Let One Malicious Issue Hijack ...
infoworld.comMicrosoft identifies seven new ways AI agents can be hacked