ככל שעסקים ואנשים פרטיים מוסרים יותר משימות לסוכני בינה מלאכותית שפועלים באופן עצמאי, מסתמן סיכון אחד כמרכזי מכולם, הזרקת הוראות דרך תוכן חיצוני. ארגון האבטחה OWASP מדרג את הזרקת ההוראות במקום הראשון ברשימת הסיכונים שלו לאפליקציות מבוססות מודלי שפה, וחוקרים רבים מתארים אותה כבעיה שעדיין אין לה פתרון מלא. הסיבה נעוצה במבנה עצמו, מודל שפה מתקשה להפריד באופן מובנה בין הוראות שהוא אמור לבצע לבין נתונים שהוא רק אמור לקרוא.
מה זה הזרקת הוראות
יש שני סוגים עיקריים. בהזרקה ישירה, המשתמש עצמו מנסה לגרום למודל להתעלם מההנחיות שלו. המסוכן יותר הוא ההזרקה העקיפה, שבה תוקף מחביא הוראות זדוניות בתוך תוכן חיצוני שהסוכן קורא, למשל דף אינטרנט, מסמך, קובץ PDF או הודעת מייל. המשתמש כלל לא רואה את ההוראה, אך הסוכן שקורא את התוכן עלול להתייחס אליה כאילו הייתה פקודה לגיטימית. דוגמה שהובאה בפרסומי אבטחה היא דף מודעה שמכיל טקסט נסתר, בלתי נראה לעין אנושית, שמנחה את הסוכן להוציא מידע או להמליץ על עסקה מזויפת.
למה זה מסוכן יותר בסוכנים
כשמדובר בצ'אט רגיל, הזרקה מוצלחת גורמת למודל לומר משהו שגוי. כשמדובר בסוכן שיש לו הרשאות לפעול, התוצאה חמורה יותר. סוכן שקורא מייל ממולכד לא רק אומר דבר שגוי, הוא עלול לבצע פעולה שגויה, כמו לשלוח מידע החוצה, למחוק קבצים או להפעיל כלי במערכת. במעבר מעוזרים שמשוחחים לעוזרים שפועלים, המחיר של תקיפה מוצלחת עולה מצילום מסך מביך לפרצה אמיתית.
זה כבר קורה בשטח
אלה אינם תרחישים תאורטיים. ביוני 2025 נחשפה פרצה בשם EchoLeak במוצר Microsoft 365 Copilot, פרצה מסוג לחיצה אפס בדירוג חומרה של כ-9.3, שאפשרה דליפת מידע בלי שהמשתמש עשה דבר. עוד קודם תועדה דליפת מידע מ-Slack AI דרך הזרקה עקיפה. במקרה אחר, ביולי 2025, מחק עוזר קוד של חברת Replit מסד נתונים חי למרות הוראה מפורשת לא לגעת בו, כשל שהתרחש בתוך הרשאות לגיטימיות אף בלי תוקף חיצוני. במרץ 2026 דיווחו חוקרי Unit 42 של Palo Alto על תקיפות הזרקה עקיפה בקנה מידה גדול לראשונה בשטח, על פלטפורמות מסחריות פעילות. באותו חודש סימן דוח סיכוני הסייבר של Munich Re את הזרקת ההוראות כמכשיר תקיפה מרכזי, בין היתר בגלל העלות הנמוכה שלה והיכולת להפעיל אותה בהיקף רחב.
מה זה אומר לעסק
לעסק שמפעיל סוכן שמחובר למייל, למאגרי מסמכים או לשירותי צד שלישי, כל תוכן חיצוני שנכנס למערכת הוא נקודת חשיפה אפשרית. ההמלצות בתחום מתכנסות לכמה עקרונות ברמת הגנה ומודעות. הראשון הוא עיקרון ההרשאה המצומצמת, לתת לסוכן רק את הגישה שהוא באמת צריך ולא יותר. השני הוא לדרוש אישור אנושי לפני פעולות בעלות השלכה, כמו שליחת נתונים החוצה או ביצוע תשלום. השלישי הוא להתייחס לכל תוכן חיצוני, ובכלל זה קישורים, לוגים ומסמכים, כאל קלט לא מהימן, ולסנן אותו. הרביעי הוא להרחיק סוכנים ממאגרי מידע ארגוניים רחבים אלא אם יש בקרות מדיניות שמפקחות על הגישה. ארגון OWASP ממליץ להתייחס להזרקה עקיפה באותה רצינות שבה מתייחסים לפרצות הזרקה בעולם האתרים. גם הרגולציה מתחילה לדרוש זאת, וקוד ההתנהגות של ממשלת בריטניה לאבטחת בינה מלאכותית מ-2025 מחייב להתמודד במפורש עם הזרקה עקיפה, בעוד ביקורות SOC 2 בוחנות בקרות גישה וסינון.
מה זה אומר למשתמש הפרטי
גם משתמש פרטי שמפעיל עוזר אישי שקורא את תיבת המייל שלו או גולש עבורו ברשת חשוף לאותו סיכון. הכלל המעשי דומה, לתת הרשאות בצמצום, לא לחבר את הסוכן לכל שירות כבר ביום הראשון, ולבדוק מה הוא עושה לפני שמאשרים לו גישה לקבצים, לתשלומים או לחשבונות רגישים.
הצד השני ומה כדאי לדעת
חשוב לא ליפול לקיצוניות. שכבות הגנה משולבות מורידות משמעותית את שיעור ההצלחה של התקיפות, והספקים משקיעים בכך רבות. יחד עם זאת, הם עצמם מודים שאין פתרון מלא. בפברואר 2026 השיקה OpenAI תכונת מצב נעילה בשם Lockdown Mode ל-ChatGPT, והצהירה שייתכן שהזרקת הוראות בדפדפני בינה מלאכותית לעולם לא תיפתר במלואה. Anthropic מצדה כתבה שאף סוכן דפדפן אינו חסין בפני הזרקת הוראות, ושאפילו שיעור הצלחה של אחוז אחד מייצג סיכון ממשי. דוח הבטיחות הבינלאומי לבינה מלאכותית לשנת 2026 מצא שתוקפים מתוחכמים מצליחים לעקוף את המודלים המוגנים ביותר בכמחצית מהמקרים תוך עשרה ניסיונות בלבד. המסקנה אינה לוותר על סוכנים, אלא להתייחס אליהם ככלי חזק שדורש תיחום, פיקוח ובקרה, בדיוק כפי שנהגו עם כל טכנולוגיה חדשה שנגעה בנתונים רגישים.
בשורה התחתונה
הזרקת הוראות דרך תוכן חיצוני היא הסיכון הבולט של עידן הסוכנים, ולא במקרה יש שמשווים אותה להזרקת SQL של עולם הבינה המלאכותית. היא מנצלת חולשה מבנית, היא זולה להפעלה, וההשלכות שלה גדלות ככל שאנחנו נותנים לסוכנים יותר הרשאות לפעול. לעסק ולמשתמש הפרטי כאחד, ההגנה הטובה ביותר כרגע אינה כלי קסם אלא גישה זהירה, הרשאות מצומצמות, אישור אנושי לפעולות רגישות, ובדיקה מתמדת של מה שהסוכן קורא ועושה.
1. מהי הזרקת הוראות דרך תוכן חיצוני, ולמה קשה כל כך לפתור אותה?
זהו סיכון שבו הוראות זדוניות מוזרקות לסוכן AI דרך תוכן שהוא קורא. ארגון האבטחה OWASP מדרג את הזרקת ההוראות במקום הראשון ברשימת הסיכונים שלו לאפליקציות מבוססות מודלי שפה, וחוקרים רבים מתארים אותה כבעיה שעדיין אין לה פתרון מלא. הסיבה נעוצה במבנה עצמו, מודל שפה מתקשה להפריד באופן מובנה בין הוראות שהוא אמור לבצע לבין נתונים שהוא רק אמור לקרוא.
2. מה ההבדל בין הזרקה ישירה להזרקה עקיפה?
יש שני סוגים עיקריים. בהזרקה ישירה, המשתמש עצמו מנסה לגרום למודל להתעלם מההנחיות שלו. המסוכן יותר הוא ההזרקה העקיפה, שבה תוקף מחביא הוראות זדוניות בתוך תוכן חיצוני שהסוכן קורא, למשל דף אינטרנט, מסמך, קובץ PDF או הודעת מייל. המשתמש כלל לא רואה את ההוראה, אך הסוכן שקורא את התוכן עלול להתייחס אליה כאילו הייתה פקודה לגיטימית. דוגמה שהובאה היא דף מודעה שמכיל טקסט נסתר, בלתי נראה לעין אנושית, שמנחה את הסוכן להוציא מידע או להמליץ על עסקה מזויפת.
3. למה הסיכון חמור יותר בסוכנים לעומת צ'אט רגיל?
כשמדובר בצ'אט רגיל, הזרקה מוצלחת גורמת למודל לומר משהו שגוי. כשמדובר בסוכן שיש לו הרשאות לפעול, התוצאה חמורה יותר. סוכן שקורא מייל ממולכד לא רק אומר דבר שגוי, הוא עלול לבצע פעולה שגויה, כמו לשלוח מידע החוצה, למחוק קבצים או להפעיל כלי במערכת. במעבר מעוזרים שמשוחחים לעוזרים שפועלים, המחיר של תקיפה מוצלחת עולה מצילום מסך מביך לפרצה אמיתית.
4. אילו מקרים אמיתיים מראים שהסיכון כבר קורה בשטח?
אלה אינם תרחישים תאורטיים. ביוני 2025 נחשפה פרצה בשם EchoLeak במוצר Microsoft 365 Copilot, פרצה מסוג לחיצה אפס בדירוג חומרה של כ 9.3, שאפשרה דליפת מידע בלי שהמשתמש עשה דבר. עוד קודם תועדה דליפת מידע מ-Slack AI דרך הזרקה עקיפה, וביולי 2025 מחק עוזר קוד של Replit מסד נתונים חי למרות הוראה מפורשת לא לגעת בו. במרץ 2026 דיווחו חוקרי Unit 42 של Palo Alto על תקיפות הזרקה עקיפה בקנה מידה גדול לראשונה בשטח על פלטפורמות מסחריות פעילות, ובאותו חודש סימן דוח סיכוני הסייבר של Munich Re את הזרקת ההוראות כמכשיר תקיפה מרכזי.
5. אילו עקרונות הגנה מומלצים לעסק ולמשתמש הפרטי?
ההמלצות מתכנסות לכמה עקרונות. הראשון הוא עיקרון ההרשאה המצומצמת, לתת לסוכן רק את הגישה שהוא באמת צריך ולא יותר. השני הוא לדרוש אישור אנושי לפני פעולות בעלות השלכה, כמו שליחת נתונים החוצה או ביצוע תשלום. השלישי הוא להתייחס לכל תוכן חיצוני, ובכלל זה קישורים, לוגים ומסמכים, כאל קלט לא מהימן ולסנן אותו. הרביעי הוא להרחיק סוכנים ממאגרי מידע ארגוניים רחבים אלא אם יש בקרות מדיניות. חשוב לזכור שאין פתרון מלא, ולכן ההגנה הטובה ביותר כרגע אינה כלי קסם אלא גישה זהירה, הרשאות מצומצמות, אישור אנושי לפעולות רגישות, ובדיקה מתמדת של מה שהסוכן קורא ועושה.
2 תגובות