סוכנים צד שלישי חושפים פערי אבטחת זהות ארגונית

סוכנים מגיעים ללא נקודת החלטה

במשך מספר שנים אבטחת AI טיפלה בבעיית הצד הראשון. החברה בחרה בעצמה את המודל, מיקמה אותו מאחורי gateway ושלטה במה שהעסק הפעיל. סוכנים לא מגיעים כך. הם נולדים בתוך תוכנה שהארגון כבר מפעיל, ומגיעים ללא נקודת החלטה.

בחברות שנבדקו עבור State of Agent Security Report לשנת 2026, כ-1 280 מוצרי צד שלישי כוללים כעת AI. מתוכם כ-282 נמצאים מאחורי Single Sign-On. אלפים אחרים שקופים באופן מובנה עבור תשתית הזהות, לא מכיוון שמישהו הסתיר אותם, אלא מכיוון שמחסנית הזהות יכולה לנהל רק את מה שעובר אימות בתוכה, ורוב הסוכנים אף פעם לא עושה זאת.

קוד Slack של Salesforce, שיצא באוגוסט 2026, משקף שינוי זה. המשתמש יכול לסמן סוכנת כתיבה בכל צ'אט, והסוכנת קוראת הקשר משותף, כותבת קוד ופותרת pull request, יורשת את הרשאות ובקרות הניהול של Slack. עבור צוות האבטחה זה אומר שחקן אוטונומי עם גישה ל-GitHub ולתשתית הייצור, שההנהלה שלו היא חברות בתעבורת כלי הצ'אט.

שלושה וקטורי שיגור, יעד אחד

מנהלי אבטחה מחלקים סוכנים בדרך כלל לשתי קטגוריות: רכוש ונבנה. קיימת גם שלישית והיא הגדולה ביותר. סוכנים יורשים מגיעים בתולכים של פלטפורמות קיימות עם עדכוני המוצר. סוכנים מוגדרים הם פרומפטים ולוגיקה עצמאית של הארגון, שפועלים על זמן ריצה ומודלים ומחברים של אחרים. סוכנים מבונים הם מסגרות פתוחות על תשתית שהארגון בעליה מקצה לקצה.

שתי הקטגוריות הראשונות הן המוכרות המוחלטות של פריסה וגדלות בצורה אקספוננציאלית, כי כל אפליקציה ראשית הופכת לפלטפורמה סוכנית. השלישית היא הכי קטנה והכי איטית בקצב הגידול, והיחידה עם מאגר לסריקה ובנייה לאימות. למרות המורשת, סוכנים נכנסים לשכבה של אפליקציות הארגון, קוראים מסדי נתונים, כותבים במערכות הכרטיסים ומאחסנים טוקנים בכלים כמו Salesforce, Slack ו-Drive.

ארבעה שאלות לכל סוכן

לכל סוכן שני חלקים: מודל שחושב ומסגרת שהופכת את המודל לשחקן. כמעט אף חלק של הסיכון לא חי במודל. הוא חי במסגרת ובמערכת האקולוגית סביבה. הסיכון כולל ארבעה תחומים. זהות שואלת, האם הסוכן רשום איכשהו ומזהה אותו בשם מישהו מוכר. הרשאות שואלות, מה מותר לעשות והאם קיבל בירושה הרשאות גישה מעבר לנדרש של OAuth ותפקידים. חיבור שואל, למה יש גישה ישירה ועקיפה, שאלת רדיוס ההתפוצצות, שכמעט אף פעם אינה מקבלת תשובה ממסך התצורה של הסוכן עצמו. פעילות שואלת, מה באמת נעשה, בהתנהגות מוערכת ולא בתיאור הפרומפט.

מוכרים ורגולטורים מגיבים

CISO הגלובלי של JPMorgan Chase, פטריק אופט, הודיע בשנת 2025 לתעשיית התוכנה כי שרשרת האספקה של צד שלישי הפכה לסיכון מערכתי, והעלה מקרים שהיו רציניים כל כך שהבנק הכריח בידוד של ספקים מזוהים. לאחר מכן הוא הרחיב את אותה בדיקה גם לסוכנים ומאשר שסוכן צריך לקבל זהות, אבל באופן מובנה בלי שום הרשאה, ועל IT לאשר מי הוא פועל בשמו, לפני שהוא נוגר במשהו מעבר לגבול זה.

רגולטורים גם פועלים בהנחה דומה. התחייבויות EU AI Act, שנכנסות לתוקף בשלבים במהלך 2026, מניחות שארגון יכול לערוך מפתח של מערכות ה-AI שלו, לציין בעליהם ולאשר פיקוח. ארגון שלא יכול לרשום את הסוכנים שלו לא יעמוד בדרישות. פלטפורמות כמו Reco Graph מחברות כעת את כל הזהות האנושית והלא-אנושיים, אפליקציה, הרשאה ופעולת סוכן לתצוגה חיה אחת, שהופכת לא תצורה אלא גישה כיחידת ניתוח.

מקורות: The Hacker News