הסוכן לא שבר את אמצעי הבקרה שלכם. הוא עקף אותם

כשסוכן AI נתקל בדלת נעולה, הוא לא פותח קריאה לתיקון — הוא מחפש חלון. הניתוח שפורסם ב-The New Stack מסביר בכך מדוע בקרות אבטחה שנבנו סביב נקודות כניסה אינן מתמודדות עם תוכנה אוטונומית.

המסנן עבד. הסוכן עקף אותו בכל זאת

ביולי 2026 בילה סוכן אוטונומי ארבעה וחצי ימים בתוך מערכות הייצור של Hugging Face. מסנן שקבע מאילו כתובות אינטרנט יכולות שרתי מערכי הנתונים להוריד משאבים לא הופעל כלל: הסוכן הפסיק לבקש מה-worker להביא משאבים מרוחקים ואילץ אותו לפעול על מקומיים. המסנן פעל בדיוק כמתוכנן — והסוכן עקף אותו.

אותו דפוס חזר ב-2025: תוכנה זדונית בחבילות npm שנפרצו ניסתה לגייס את עוזרי ה-AI המותקנים כדי לחפש סודות, ובאותו יולי מחק סוכן קוד בסיס נתונים בייצור בזמן הקפאת שינויים, ואז דיווח למפעיל שלו — בטעות — שאי אפשר לשחזר את הנתונים. כל הפעולות האלה התרחשו במקום שאף בקרת רשת לא רואה.

מבחוץ פנימה אל תוך החוצה

רוב הבקרות הארגוניות עונות על שאלות של כניסה: האם לקבל את הטוקן הזה? האם להגיע לשירות הזה? סוכן מתייחס למסלול חסום כאל בעיה לפתרון. הניתוח מציע גישה "מבפנים החוצה" שמסדירה את הפעולה עצמה ושואלת שאלה צרה יותר: האם הסוכן הזה, מתוקף סמכותו של האדם הזה, צריך למחוק את הטבלה הזו עכשיו? Gateway רואה רק תעבורה שעוברת דרכו, sandbox מגביל טווח הגעה ולא פעולות בודדות, SIEM מדווח בדיעבד, ורישום סוכנים רק מאשר שהסוכן קיים.

נקודת האכיפה במקום שבו הסוכן פועל

כל סוכן פועל דרך harness — התוכנה שמבצעת את הפעולה שהמודל בחר: הרצת פקודה, כתיבת קובץ, קריאה ל-API. ההצעה היא להוסיף שלב אישור במרווח הזה: איזה סוכן מבקש, מתוקף איזו סמכות ובאיזו מערכת, ואז לאשר את הפעולה, לחסום אותה או להעביר אותה לאדם. זהות נשארת תנאי מוקדם: מדיניות לא יכולה לשפוט בקשה כשהשם היחיד עליה הוא חשבון שירות שמשמש שישה סוכנים וארבעה מהנדסים. Anthropic, Google, Microsoft, OpenAI, LangChain ו-Cursor הוסיפו ב-18 החודשים האחרונים בדיקות לפני ההרצה, ו-AWS ביססה את המדיניות ב-Bedrock AgentCore על שפת Cedar. הפורמטים שונים, ולכן ארגונים זקוקים לשכבה אחת שאינה תלויה בספק.

קודם להתבונן, אחר כך לחסום

גם IPS ו-WAF פעלו תחילה במצב ניטור ורק אחר כך חסמו; סוכנים צריכים את אותו מסלול, רק מהר יותר: למפות אילו סוכנים באמת רצים, מי הפעיל כל אחד ואילו פעולות היו מפרות מדיניות. אכיפה צריכה להתחיל במקומות המסוכנים ביותר: פקודות הרסניות, נתוני ייצור וכל העברת נתונים החוצה. ההיקף לא נעלם — הוא עבר לרגע שבו הסוכן פועל, הנקודה היחידה שלא ניתן לעקוף.