מודלי ה-AI שלכם הם קוד ניתן להרצה. רוב החברות מתייחסות אליהם כמו לגיליונות אלקטרוניים.

בפעם הראשונה שבאמת הבנתי את הבעיה, צפיתי במעקב קריאות מערכת (syscall) גולל על המסך בתוך קונטיינר מבודד, והמתנתי שהוא לא יעשה כלום.

משכנו מודל ממאגר ציבורי — מהסוג שמדען נתונים מוריד מאה פעמים ברבעון בלי לחשוב על זה. כרטיס המודל נראה רגיל. הוא עבר סריקה בסיסית. טענתי אותו לתוך ארגז חול (sandbox) לא מפני שחשדתי בקובץ המסוים הזה, אלא מפני שהתחלתי לטעון הכול בתוך ארגז חול. וכשריצת הדה-סריאליזציה התבצעה, המעקב הראה שהתהליך מנסה לפתוח חיבור רשת שאין לו שום סיבה לפתוח.

זו כל התזה של אבטחת שרשרת האספקה של הבינה המלאכותית ברגע אחד: המודלים שלכם אינם קובצי נתונים. הם קוד ניתן להרצה שרץ ברגע שאתם טוענים אותו. רוב הארגונים מתייחסים אליהם כמו לגיליונות אלקטרוניים — דברים אינרטיים שאתם מורידים ופותחים — והפער הזה בין מה שמודל הוא לבין האופן שבו הוא מטופל הוא בדיוק המקום שבו מתרחשות הפריצות.

מודל אינו מסמך שאתם פותחים. הוא תוכנית שאתם מריצים עם ההרשאות של מי שהריץ אותה.

סיפור ה-reverse shell אינו אפילו פולקלור תעשייתי היפותטי. מודל בשם "baller423" ב-Hugging Face נמצא כשהוא מקים reverse shell אל מארח חיצוני. הוא נראה רגיל. הוא עבר סריקות בסיסיות. הוא הריץ קוד שרירותי ברגע שמישהו טען אותו. כשאני מספר את הסיפור הזה בחדר מלא מנהיגי אבטחה, אי-הנוחות אינה נובעת מכך שדבר כזה אפשרי — אלא מכך שהם מבינים שהצוות שלהם טוען מודלים מאותו מקור, באותו אופן, כבר שנתיים.

בעיית ה-pickle שאיש אינו רוצה לשמוע עליה

הנה החלק שגורם למהנדסים ותיקים להתכווץ, כי זה לא באג שמישהו יכול לתקן.

כשאתם קוראים ל-torch.load() על מודל PyTorch, הוא יכול להריץ קוד Python שרירותי במהלך הדה-סריאליזציה. זו אינה פגיעות במובן הרגיל. זו ההתנהגות המתוכננת של פורמט הסריאליזציה pickle של Python — ל-pickle מותר לשחזר אובייקטים על ידי הרצת קוד, וקובץ מודל הוא פשוט אובייקט pickled. יותר מ-80% ממודלי למידת המכונה בעולם משתמשים בפורמט הזה. כך שהדרך המוגדרת כברירת מחדל שבה כל התחום שולח מודלים היא גם פרימיטיב להרצת קוד מרחוק שמחכה שמישהו ימלא אותו.

האינסטינקט, באופן סביר, הוא לסרוק אחריו. ההגנה הנפוצה ביותר היא כלי בשם PickleScan, שמחפש דפוסים ידועים כרעים בתוך קובצי מודלים. ול-PickleScan יש לפחות שלושה מעקפי zero-day ידועים — ביניהם CVE-2025-10155 — כשחוקרים ב-Sonatype מצאו מאוחר יותר עוד ארבע פגיעויות בסורק עצמו.

אני לא אומר זאת כדי ללגלג על פרויקט קוד פתוח שעושה עבודה אמיתית. אני אומר זאת כי זה לימד אותי עיקרון שאני בונה סביבו הכול כיום: כאשר התוקף שולט בפורמט הקובץ, סריקת רשימה שחורה מפסידה באופן מבני. סריקה סטטית שואלת "האם הקובץ הזה מכיל דפוס שאני כבר יודע שהוא רע?" התוקף, שיכול לראות את אותה רשימה שחורה שאתם רואים, פשוט משתמש בדפוס שאתם עדיין לא מכירים.

אז הפסקנו לשאול את השאלה הזאת. צינורות הבדיקה שהצוות שלי בונה אינם פותחים ב"אילו מחרוזות ידועות כרעות נמצאות בקובץ הזה". הם פותחים בארגז חול התנהגותי: לטעון את המודל בתוך קונטיינר מבודד, לצפות במה שהוא באמת עושה — קריאות המערכת, הגעות הרשת, כתיבות הקבצים — ולשפוט את ההתנהגות, לא את החתימה. השאלה עוברת מ"האם זה ברשימה" ל"מה הקוד הזה עושה כשהוא רץ". השאלה השנייה הזאת היא היחידה שתופסת את המתקפה שאיש עוד לא נתן לה שם.

סריקה סטטית תופסת את המתקפה של אתמול. ארגז חול התנהגותי תופס את זו שהתוקף כותב ממש עכשיו.

זה לא חינם, וזה לא מוצר שקונים מהמדף. Protect AI, כיום חלק מ-Palo Alto Networks לאחר רכישה בשווי כ-500–700 מיליון דולר שנסגרה ביולי 2025, סרקה 4.47 מיליון גרסאות מודל ומצאה 352,000 בעיות לא בטוחות או חשודות ביותר מ-51,700 מודלים. זה גודל ערימת השחת. כלים יכולים לסמן את המובן מאליו. תכנון השער שיושב בין מאגר ציבורי לבין מחסן המודלים הפנימי שלכם — והפיכתו למהיר מספיק כדי שאיש לא יעקוף אותו — הוא החלק שלא מגיע בקופסה.

השער שבניתי שכולם התעלמו ממנו

אני רוצה לספר לכם על הגרסה של זה שטעיתי בה, כי הכישלון לימד אותי יותר מההצלחה.

בהתחלה, בניתי שער בדיקת מודלים ללקוח שהיה, מבחינה טכנית, מצוין. כל מודל שהגיע ממקור ציבורי נמשך לארגז החול, נותח לעומק על פני פורמטים שונים, עבר פרופיל התנהגותי, ורק אז נחתם והוכנס למאגר הפנימי. בביקורת אבטחה הוא היה מקבל ציון יפהפה. הייתי גאה בו.

בתוך כשבוע, צוות מדעי הנתונים חדל בשקט להשתמש בו.

לא בזדון. היו להם דדליינים. השער הוסיף דקות ממשיות לתהליך עבודה שבו החלופה — משיכת מודל ישירות מ-Hugging Face — לקחה שלושים שניות. אז כשניסוי היה צריך מודל עכשיו, הם משכו אותו גולמי לחשבון ענן אישי והמשיכו הלאה. השער היפהפה שלי הגן על פתח ריק בעוד התנועה האמיתית עוקפת את צד הבניין.

אותו שבוע מיסגר מחדש עבורי את כל הבעיה. הבקרה הקשה ביותר באבטחת שרשרת האספקה של הבינה המלאכותית אינה טכנית. היא ששער אבטחה שאיטי יותר מהנתיב הלא בטוח יפסיד בכל פעם ופעם. כשמדען נתונים יכול להוריד מודל בשלושים שניות, כל תהליך שלוקח שלושים דקות ייעקף — לא על ידי גורמים זדוניים, אלא על ידי מהנדסים טובים תחת לחץ. הבקרות חייבות להיות מהירות מספיק כדי שהציות יהיה קל יותר מאשר העקיפה. אם הן לא, אין לכם תוכנית אבטחה. יש לכם תיאטרון אבטחה עם ביקורות מצוינות ובלי קהל.

לכן המספרים על shadow AI מעולם לא הפתיעו אותי אחרי זה. ל-98% מהארגונים יש עובדים שמשתמשים בכלי AI לא מאושרים. 62% ממומחי האבטחה אומרים שאין להם דרך אמינה לדעת היכן בכלל רצים מודלי שפה גדולים בסביבה שלהם. רק כ-9% מהארגונים מפעילים מערכת ממשל AI פעילה, למרות ששליש מהמנהלים יגידו לכם שיש להם מעקב מקיף. והעלות אינה מופשטת: דוח "עלות פריצת נתונים" של IBM לשנת 2025 מעמיד את העלות הממוצעת של פריצה הקשורה ל-shadow AI על 4.63 מיליון דולר — בערך 670,000 דולר יותר מאירוע רגיל.

אי אפשר לאבטח את מה שאי אפשר לראות, וכרגע רוב הארגונים אינם יכולים לראות את רוב ה-AI שלהם.

מדוע כיוונון עדין (fine-tuning) מנטרל בשקט את המודל הבטוח ביותר שלכם?

זו האחת שמקבלת את התגובה החזקה ביותר כשאני מביא אותה לצוות טכני, כי היא סותרת משהו שכולם מניחים.

ההנחה היא: הערכתי את המודל הזה לבטיחות, הוא עבר, אז הוא בטוח. המציאות היא שיישור הבטיחות (safety alignment) שביר באופן שציר הזמן של ההערכה מפספס לחלוטין. במחקר אחד, עמידותו של Llama 3.1 8B בפני הזרקת פקודות ירדה מציון 0.95 ל-0.15 לאחר סבב יחיד של כיוונון עדין — ולא כיוונון עדין יריב. אימון רגיל, שפיר, ספציפי לתחום. זו קריסה של כ-84% בתכונת בטיחות, שנגרמת מהדבר הכי שגרתי שחברה עושה למודל.

ניהלתי בדיוק את הוויכוח הזה עם צוות ה-ML של לקוח. הם הריצו את הערכת הבטיחות שלהם, המודל עבר, הם כיוונו אותו עדין על הנתונים שלהם, והם היו מוכנים לשלוח לייצור. שאלתי מתי הם מתכננים להריץ מחדש את ההערכה. בחדר השתררה שתיקה קלה, כי התשובה הכנה הייתה "לא התכוונו לעשות זאת". המודל עובר את השער לפני הדבר ששובר אותו. ואז הוא יוצא לייצור כשמעקות הבטיחות שלו למעשה מופשטים, וכל הניירת אומרת שהוא בטוח.

המודל עובר את בדיקת הבטיחות שלו לפני השלב שהורס את הבטיחות. כמעט אף אחד אינו בודק שוב לאחר מכן.

אז העברנו את הערכת הבטיחות לאחרי הכיוונון העדין, הפכנו אותה לשער שחרור ולא לשער קליטה, והתייחסנו לכל כיוונון עדין כאירוע שמבטל את אישור הבטיחות הקודם. זה נשמע כמעט מובן מאליו מדי ברגע שאומרים זאת בקול. הסיבה שזו אינה פרקטיקה מקובלת היא אותה סיבה כמו השער שאיש לא השתמש בו: הרגע הנוח להעריך הוא בקליטה, והערכה מחדש לאחר כל כיוונון עדין היא חיכוך. חיכוך הוא האויב, אבל במקרה הזה הוא הדבר היחיד שעומד בין דוח עובר לבין מודל חסר הגנה.

הרעלה מבהירה את אותה נקודה מהכיוון ההפוך. מחקר הראה שכבר 250 מסמכים מורעלים יכולים להשתיל דלת אחורית במודל בן 13 מיליארד פרמטרים — כ-0.00016% מגוף האימון. אינכם צריכים לפגוע בנתונים בקנה מידה גדול. אתם צריכים שווי של שגיאת עיגול מהם. Microsoft פרסמה נגד-מהלך מעודד באמת בפברואר 2026 — שיטת זיהוי "סוכן ישן" (sleeper agent) שיכולה לזהות מודל מורעל בלי לדעת את ביטוי ההדק, על ידי איתור דפוס קשב ייחודי. זו ההגנה האמיתית הראשונה שראיתי נגד מתקפה שהייתה קודם לכן כמעט בלתי ניתנת לזיהוי. זו גם בדיוק סוג היכולת שחיה במאמר מחקר, לא בצינור ה-CI/CD שלכם, עד שמישהו עושה את ההנדסה כדי להכניס אותה לשם.

סוכנים הפכו הזרקת פקודות לשרשרת הרג

במשך שנים, המקרה הגרוע ביותר עם מודל שעבר מניפולציה או עם הזרקת פקודות היה פלט גרוע. המודל אומר משהו שגוי, מדליף משהו שאסור לו, מביך אתכם. מתוחם. מעצבן. אפשר לשרוד אותו.

AI סוכני (Agentic AI) הסיר את הגבול.

לסוכן AI יש גישה לכלים, אישורי גישה, והרשאות הרצה שאין למודל צ'אט. אז כשאתם מזריקים פקודה זדונית לתוך משהו שסוכן קורא, אתם כבר לא משחיתים תשובה — אתם מוציאים פקודה למערכת שיכולה לפעול. ל-GitHub Copilot הייתה פגיעות להרצת קוד מרחוק, CVE-2025-53773, מדורגת CVSS 7.8 ותוקנה באוגוסט 2025, שבה הזרקת פקודות שהושתלה בתיעוד של מאגר יכלה להפעיל את הסוכן ל"מצב YOLO" האוטונומי שלו ולהסלים לפגיעה מלאה במערכת. הסוכן קרא הערה זדונית, הריץ אותה כקוד, והמכונה נכבשה.

ואז היה אירוע שרשרת האספקה של Amazon Q ביולי 2025: תבנית פקודה זדונית cleaner.md הוזרקה דרך אסימון GitHub שהוגדר בצורה שגויה, וגרסה ששוחררה שלחה פקודות הרסניות לבסיס התקנה גדול מאוד. וב-2026, מערכת האקוסיסטם של סוכני OpenClaw הפכה למשבר האבטחה הגדול הראשון של השנה בתחום סוכני ה-AI — 138 CVEs ב-63 ימים, יותר מ-135,000 מופעים חשופים, ו-12% מהמיומנויות בשוק שלה נמצאו כזדוניות. דיווח האיומים של HiddenLayer לשנת 2026 קושר כעת בערך אחת מכל שמונה פריצות AI למערכות סוכניות.

הקו המשותף לכל אלה זהה: סוכנים ממירים קלט יחיד שעבר מניפולציה לשרשרת הרג רב-כלית ומתוזמרת. מה שהיה פעם משפט שגוי אחד הופך לרצף של פעולות אמיתיות עם אישורי גישה אמיתיים. זו החזית שמדאיגה אותי הכי הרבה כרגע, כי היא מתרחבת מהר יותר מכל קטגוריית מוצר שיכולה לעמוד בקצב, ועדיין אין ספר משחקים מבוסס לאבטחתה.

אז מה עושים עם זה בפועל?

אנשים תמיד שואלים אותי גרסה כלשהי של: "האם אני לא יכול פשוט לקנות כלי לזה?" והתשובה הכנה היא שאתם יכולים לקנות חלקים, והחלקים משתפרים מהר.

נוף הספקים התבגר לאקוסיסטם אמיתי — Protect AI ו-Wiz של Palo Alto לסריקה ולהפקת רשימת חומרי AI (AI bill-of-materials) בתוך חבילות הענן והפלטפורמה שלהן, JFrog לאבטחת מאגר המודלים וצינור הפריטים, HiddenLayer לזיהוי ותגובה בזמן ריצה, מעקות הבטיחות בקוד פתוח של NVIDIA לבקרות LLM בשכבת האפליקציה, Fortanix שמביאה מחשוב חסוי (confidential computing) להפצת מודלים. הדוגמה האחרונה היא דוגמה טובה לכך שכלים לבדם אינם סוגרים את הפער: יחידות GPU חסויות ששומרות על מודל מוצפן אפילו בזמן שהוא רץ (הדורות Hopper ו-Blackwell של NVIDIA) אכן קיימות, אבל חיווט סביבות הריצה המהימנות הללו לתוך צינור הסקה חי הוא הנדסה מתמחה שלרוב הצוותים פשוט אין בכוח האדם. כל ספק באמת טוב בפרוסה שלו. אף אחד מהם אינו מתכנן את הצינור מקצה לקצה שלכם, ממפה אותו למחויבויות שלכם, או משנה את האופן שבו הארגון שלכם באמת מתנהג.

והחצי השני של השוק — חברות האסטרטגיה הגדולות — ימכרו לכם את הבעיה ההפוכה: מסגרת ממשל AI בת 200 עמודים, מצגת דירקטוריון, תיעוד מוכן לביקורת, והתקשרות שמתחילה סביב 500 אלף דולר לאסטרטגיה ומטפסת למיליונים ליישום. מה שהן בדרך כלל לא יעשו הוא לבנות את צינור חתימת המודלים, להגדיר את הפקת ה-ML-BOM בתוך ה-CI/CD שלכם, או להקים את זיהוי ה-shadow AI בשכבת הרשת. אתם נותרים עם הקלסר ולא עם הבנייה.

הפער הזה — בין כלים שסורקים לבין מצגות שמייעצות — הוא כל הסיבה לכך ש-Veriprajna עושה אבטחת שרשרת האספקה של הבינה המלאכותית כהנדסה ולא כדוח. מה שאנחנו בונים הוא קונקרטי: צינורות בדיקת מודלים אוטומטיים שמכניסים כל מודל נכנס לארגז חול התנהגותי וחותמים על הנקיים עם ה-PKI הארגוני שלכם; ML-BOM — רשימת חומרים של למידת מכונה, המקבילה ב-AI לתווית מרכיבים שעוקבת אחר כל רכיב ומקורו — שנוצרת ומעוגנת בתוך הצינור באמצעות תקן CycloneDX; מקור וחתימה הבנויים על עבודת האישור המתהווה של CoSAI; שער בטיחות שלאחר כיוונון עדין; וזיהוי shadow AI שחושף את המודלים שכלי האבטחה שלכם כרגע אינם יכולים לראות.

התקנים לעשות את רוב זה כבר קיימים. CycloneDX ML-BOM, חתימת מודלים של CoSAI, וטקסונומיית ה-ML היריב המעודכנת של NIST‏ (AI 100-2) כולם פורסמו וניתנים לשימוש כיום. הבעיה מעולם לא הייתה בעיית ידע. לפי מדד Kiteworks לשנת 2025, ל-83% מהארגונים עדיין חסרות בקרות אבטחת AI אוטומטיות — הם טסים בעיוורון לא מפני שספר המשחקים חסר, אלא מפני שלאף אחד אין את יכולת ההנדסה ליישם אותו. הפער הוא ידיים, לא רעיונות.

יש על זה גם שעון רגולטורי. חוק ה-AI של האיחוד האירופי (EU AI Act) נכנס לתחולה מלאה ב-2 באוגוסט 2026, ולמערכות בסיכון גבוה הוא דורש תיעוד טכני אמיתי — מקור נתוני האימון, הערכת התאמה, סוג אישור שרשרת האספקה ש-ML-BOM נבנה כדי להפיק. יבואנים ומפיצים של רכיבי AI יצטרכו לאמת את מה שהם מעבירים במורד הזרם, וספקים וספקי הרכיבים של צד שלישי שלהם חייבים להסכים בכתב על המידע והגישה הטכנית שכל אחד ישתף. התחלתי לספר ללקוחות את החלק השקט של הסעיף הזה: ברגע שהחוק נושך, מקור המודל מפסיק להיות רק הבעיה שלכם לספוג — הספקים שלכם חייבים לאשר אותו בכתב, ואלה שאינם יכולים פשוט יחדלו להיות שמישים. החברות שמתייחסות למקור המודל כאל דבר נחמד-שיהיה עומדות לגלות שזו דרישת הגשה.

השקופית שבאמת הזיזה את התקציב

אסיים היכן שהשיחות האלה מסתיימות בדרך כלל: מול דירקטוריון.

ראיתי הרבה מקרי אבטחה בנויים היטב שלא הצליחו לקבל מימון כי הם הוצגו כמקרי אבטחה — סיכון מופשט, תוקפים היפותטיים, קטגוריה שנשמעת כמו ביטוח. המצגת שעבדה הייתה זו ששמה מספר יחיד על השולחן: העלות הממוצעת של 4.63 מיליון דולר לפריצת shadow AI, מול העלות של בניית הבקרות שמונעות אותה. לא פחד. הפרש. הנה הסיכון המכומת, הנה כמה עולה לסגור אותו, הנה ההבדל.

המסגור הזה עובד כי הוא נאמן לאופן שבו הבעיה הזאת באמת מתנהגת. האיום אינו אקזוטי. הוא תהליך העבודה שהוא ברירת מחדל — למשוך מודל, לכוונן אותו עדין, לפרוס אותו, לעולם לא להסתכל שוב — שרץ בכל ארגון שבונה עם AI, וזה כעת כמעט כולם. תקציבי ה-CISO משקפים זאת: כ-85% מהארגונים הגדילו את ההוצאה על אבטחת סייבר לקראת 2026, ואבטחת AI היא הסעיף הנדון ביותר.

מודל הוא הפריט האחד בסביבה שלכם שהוא בו-זמנית הדבר היקר ביותר שיש לכם וגם פיסת קוד ניתן להרצה לא מאומת שהורדתם מזר באינטרנט. עד שתתייחסו אליו כאל שניהם בבת אחת — לבדוק אותו כמו קוד, לעקוב אחריו כמו שרשרת אספקה, ולבדוק אותו מחדש בכל פעם שאתם משנים אותו — הדוח שאומר שאתם מאובטחים מבקר בקרה שאיש אינו משתמש בה בפועל. אם אתם חושבים היכן להתחיל, התחילו שם: הפסיקו לבטוח בכרטיס המודל, וצפו במה שהמודל עושה כשהוא רץ.