העולם העסקי נמצא בנקודת מפנה היסטורית. הפריצה של הבינה המלאכותית (GenAI) אינה עוד מגמה טכנולוגית חולפת, אלא מהפכה תשתיתית המגדירה מחדש את גבולות הפרודוקטיביות. נתוני Netskope Threat Labs חושפים מציאות שאי אפשר להתעלם ממנה - 98% מהמשתמשים בארגונים כבר צורכים אפליקציות GenAI באופן שוטף.
כמומחה לאסטרטגיית סייבר, אני מזהה את הדילמה הקלאסית של הדרג הניהולי: השאיפה "לשבש" את השוק באמצעות חדשנות (Disrupt with AI) אל מול החובה המנדטורית להגן על הנכסים הדיגיטליים (Defend against risk). הבעיה המרכזית כיום היא שרוב פתרונות האבטחה המסורתיים מתמקדים ב"חיבור" (Connection) ולא ב"דאטה" (Data). כדי לנצח בקרב הזה, ארגונים חייבים לעבור מגישה מבוססת פרוקסי פשוטה לגישה ממוקדת דאטה (Data-Centric), המבינה את ההקשר (Context) של כל אינטראקציה.
מסע האימוץ: חמשת השלבים של AI בארגון
הטמעת AI היא אבולוציה המורכבת מחמישה שלבים קריטיים. זיהוי השלב בו הארגון נמצא הוא הצעד הראשון בבניית הגנה אפקטיבית:
1. שלב הניסוי (Experimentation) - אימוץ ספורדי של כלים כמו ChatGPT.
האתגר: Shadow AI - שימוש בלתי מנוהל בכלים חיצוניים ללא פיקוח.
2. AI מובנה בפלטפורמות (Integrated AI) - שימוש ביכולות AI המוטמעות ב-SaaS קיים (כגון Salesforce AI).
האתגר: חוסר נראות לגבי אופן השימוש במידע בתוך האפליקציות.
3. אפליקציות מנוהלות עצמאיות (Managed stand-alone) - סטנדרטיזציה ארגונית על כלי מוביל (למשל Microsoft Copilot).
האתגר: הבחנה בין מופעים (Instances) ארגוניים לפרטיים.
4. אפליקציות AI פרטיות (Private AI apps) - בניית מודלים פנימיים. לפי הנתונים. 54% מהארגונים כבר מריצים תשתיות GenAI מקומיות.
האתגר: הבטחת איכות נתוני האימון (Training Data) ומניעת זליגת סודות מסחריים למודל.
5. סוכני AI אוטונומיים (Autonomous AI agents) - השלב המתקדם ביותר, בו סוכנים מבצעים משימות באופן עצמאי.
האבולוציה הבאה: מעבר ל-Agentic AI
המעבר ל-Agentic AI מייצג את השלב החמישי - פריסת סוכנים אוטונומיים המוגדרים כ-"10X users". אלו אינם משתמשים רגילים; הם ישויות בעלות יכולת לבצע "פעולות משורשרות" (Chained Actions) חוצות פלטפורמות. סוכן כזה יכול, למשל, לשלוף נתונים פיננסיים מ-Salesforce, לעבד אותם ב-ChatGPT ולשלוח את התוצאה במייל חיצוני, כל זאת ללא מגע יד אדם.
הסיכון כאן הוא עצום. סוכנים אלו פועלים בקצב ובנפח שמשתמש אנושי לא יכול להשתוות אליהם. מאחר שהם פועלים באופן אוטונומי, אימות זהות נקודתי אינו מספיק. נדרשת מערכת של בקרות אדפטיביות מתמשכות (Continuous Adaptive Controls) שמסוגלת להבין את כוונת הסוכן ולמנוע ניצול לרעה של הרשאות יתר בזמן אמת.
המדריך המעשי: ביסוס משילות AI בשלושה שלבים
כדי להפוך את הסייבר מ"חוסם" ל"מאפשר" (Enabler) של טכנולוגיית Agentic AI, יש ליישם תוכנית פעולה מבוססת Zero Trust:
• גילוי וסיווג (DSPM) — השלב הראשון אינו רק למצוא מידע, אלא לזהות נתונים בסיכון בתנועה. שימוש ב-Data Security Posture Management מאפשר לזהות אילו נכסים דיגיטליים זורמים לעבר מודלי ה-LLM ולקבוע מדיניות הגנה ממוקדת.
• הכוונה בזמן אמת Coach and Pivot)) — במקום לחסום, יש לחנך. מערכת חכמה צריכה לזהות ניסיון העלאת מידע לכלי לא מאושר, לעצור את הפעולה ולהפנות את המשתמש ("Pivot") לגרסה הארגונית המאובטחת, תוך הסבר על סיכוני האבטחה.
• אכיפה מבוססת הקשר ו-CCI — יש להשתמש במדד ה-Cloud Confidence Index) CCI) כדי לנהל את הסיכון של עשרות אלפי אפליקציות. מדיניות ה-Zero Trust צריכה להיות דינמית: "חסימת כל אפליקציית AI עם ציון CCI נמוך מ-60", תוך ניטור רציף של התנהגות המשתמשים והסוכנים.
סיכום: אימוץ AI באחריות ובביטחון
המעבר ל-Agentic AI אינו איום שיש להתגונן מפניו, אלא כוח שצריך לנווט אותו. ארגונים שישכילו לאמץ פלטפורמה אחודה של אבטחה ותקשורת (SSE/SASE), המבוססת על יכולות Proxy עמוקות, יצליחו לייצר יתרון תחרותי ללא פשרות על ביצועים או אבטחה.
המצפן החדש של הארגון חייב להיות ממוקד-נתונים (Data-Centric). בעידן שבו סוכני AI מקבלים החלטות באופן עצמאי, היכולת לשלוט בזרימת המידע ובהקשר שלו היא ההבדל בין פריצה טכנולוגית לבין אסון אבטחתי.
היעד של המנהיג הטכנולוגי הישראלי הוא ברור - אפס פשרות על חדשנות, מקסימום שליטה על המידע ואבטחתו.
שאלות אבטחה אסטרטגיות למנמ"ר (CIO)
בשיחותיי עם מובילי טכנולוגיה, אני מציע לבחון את מוכנות הארגון באמצעות השאלות הבאות:
• נראות עמוקה: האם אתה מסוגל לזהות Shadow AI כאשר 72% מהשימוש בארגון אינו מנוהל?
• הקשר ארגוני: האם הכלים שלנו יודעים להבחין בין מופע (Instance) ארגוני מאושר לבין מופע פרטי של המשתמש באותה אפליקציה בדיוק?
• אבטחת אימון מודלים: כיצד אנו מבטיחים שמידע רגיש לא מזין מודלי LLM חיצוניים בתהליכי RAG או אימון?
• רגולציה וציות: האם אנו עומדים בדרישות Geo-Compliance כאשר המידע עובר דרך מנועי AI גלובליים?
הכותב הוא Senior Solutions Engineer בחברת Netskope ישראלבשיתוף Netskope ישראל
