אבטחת מידע בעידן Claude Mythos: תשתיות קריטיות עוברות למודלי סייבר
ארגונים שמנהלים תשתיות קריטיות כבר אינם יכולים להתייחס לאבטחת מידע כאל שכבת בדיקות בסוף תהליך הפיתוח. מערכות אנרגיה, מים, בריאות ותקשורת נשענות על קוד, רכיבי צד שלישי, ממשקי ענן וחיבוריות תפעולית שמייצרים שטח תקיפה עצום. כאשר חולשת אפס יום אחת יכולה להפוך לאירוע לאומי, השאלה הניהולית אינה רק האם קיימת חולשה, אלא כמה מהר הארגון יודע למצוא, להבין, לתעדף ולתקן אותה.
אבטחת מידע עוברת ממעקב ידני לסריקת קוד חכמה
אנטרופיק הרחיבה את Project Glasswing לכמאה וחמישים ארגונים בחמש עשרה מדינות ידידותיות לארצות הברית, תוך שימוש במודל Claude Mythos לאיתור פגיעויות בקוד מקור של תשתיות חיוניות. החברה מעריכה כי מתקפה מרכזית על אחד מחלק מהשותפים עלולה להשפיע על יותר ממאה מיליון בני אדם. הנתון הזה חשוב, משום שהוא מציב את מודלי השפה לא ככלי פרודוקטיביות בלבד, אלא כתשתית ביטחונית שמסוגלת לסרוק מערכות מורכבות בהיקף שקשה לנהל בעזרת צוותי אבטחה אנושיים בלבד.
מודל סייבר כזה אינו מחליף מומחה אבטחה, אלא משנה את יחס התפוקה שלו. במקום שאנליסט יעבור ידנית על מאות אלפי שורות קוד, המודל יכול לזהות דפוסי שימוש מסוכנים, מסלולי ניצול אפשריים, טעויות הרשאה, טיפול לקוי בקלט, דליפות סודות ותלות בעייתית בספריות. הערך העסקי נוצר רק כאשר הממצאים מחוברים להקשר: חשיבות המערכת, חשיפה לרשת, קריטיות תפעולית, רמת הרשאות, עלות תיקון והסתברות ניצול.
מודלי סייבר ייעודיים דורשים אדם בלולאה, אבל לא צוואר בקבוק
הטעות הנפוצה בארגונים היא להפוך כל פלט של מודל למשימה אנושית מיידית. כך יוצרים עומס, רעש ותסכול, ולא אבטחה טובה יותר. אדם בלולאה הוא עיקרון קריטי, אך התכנון הנכון הוא שאיש מקצוע אחד יפקח על מאות תהליכי בדיקה, יגדיר מדיניות, יאשר חריגים, יבחן דגימות איכות ויתערב רק במקרים בעלי סיכון ממשי. זו בדיוק הנקודה שבה AI הופך מתוסף טכני למנגנון תפעולי שמגדיל יכולת ארגונית.
בעבודה עם ארגונים גדולים אנו רואים שפערי ההטמעה אינם נמצאים רק במודל, אלא בממשל, בהרשאות, במיפוי נכסים ובתהליכי שינוי. מערכת Claude היא כיום מהמערכות החזקות לשימוש ארגוני רחב, וכלים כמו Claude Code מוכיחים ערך יישומי גבוה, אך דווקא לכן נדרשת ארכיטקטורת אבטחה ברורה: סביבת הרצה מבודדת, מדיניות שמירת נתונים, בקרת גישה לקוד, תיעוד החלטות, בדיקות חוזרות ומנגנון מדידה שמבחין בין ממצא אמיתי לבין התרעה חלשה.
סיכוני AI בתשתיות קריטיות הם גם הזדמנות ניהולית
היעדר ישראל מהרשימה הגלויה של המדינות אינו פרט שולי. שוק הסייבר הישראלי עמוק, מנוסה ומחובר ישירות לעולמות תשתית, ענן וזהויות. ייתכן שמדובר בגל הרחבה מוגבל, וייתכן שיש כאן שיקולים גאופוליטיים או רגולטוריים. כך או כך, ארגונים ישראליים לא צריכים להמתין להזמנה. הם צריכים לבנות יכולת פנימית לסריקת קוד חכמה, לניהול סוכני בדיקה, להכשרת צוותי פיתוח ואבטחה ולעבודה עם מודלים מתקדמים במסגרת בקרה עסקית ומשפטית.
במקביל, התחרות עם OpenAI ומודלי סייבר ייעודיים נוספים תאיץ את השוק. ההמלצה למנהלים ברורה: להתחיל בפיילוט ממוקד על מאגרי קוד קריטיים, למדוד ירידה בזמן גילוי ותיקון, להגדיר סף אמון לממצאים, לחבר את התהליך למערכות DevSecOps קיימות, ולפתח מומחיות פנימית אמיתית. AI באבטחת מידע אינו קסם ואינו פרויקט צדדי של חדשנות. זהו שינוי מקצועי, ניהולי ותפעולי, ומי שיבנה אותו נכון יקבל יתרון משמעותי בהגנה, במהירות תגובה ובאיכות הפיתוח.
