בינה מלאכותית באבטחת מידע: הלקח מאלף הקבלנים של בנק אמריקה

כשהגילוי משתפר, העבודה דווקא גדלה

בינה מלאכותית באבטחת מידע יכולה להגדיל את ההוצאות בטווח הקצר, גם כשהיא עושה בדיוק את מה שהבטיחה. כלי שמוצא חולשות מהר יותר אינו מבטיח שהארגון מסוגל לתקן אותן מהר יותר. אם יכולת הגילוי מתקדמת ויכולת הטיפול נשארת מאחור, התוצאה היא תור עבודה גדול יותר, לחץ על צוותי הפיתוח ודרישה לתקציב נוסף.

לפי דיווח של ניקול קובי ב־ITPro, בנק אמריקה גייס 1,000 קבלני אבטחת מידע נוספים בעקבות גל תיקונים שנדרש לאחר זיהוי חולשות באמצעות Claude Mythos של Anthropic. הם הצטרפו לכ־3,000 עובדים קיימים בתחום. עבור הנהלה ישראלית, הסיפור החשוב אינו רק עוצמת המודל, אלא הפער שהוא חשף בין איתור בעיה לבין סגירתה.

קבלני אבטחה נוספים לפי הדיווח

1,000

עובדים קיימים בתחום האבטחה

3,000

תוספת ביחס למצבת העובדים הקיימת

כ־33%

המספרים מתארים הרחבה של כוח האדם המוקדש לאבטחה, לא הוכחה לירידה בפריון. ייתכן שהבנק רואה כעת בעיות שלא הצליח לזהות קודם. זו התקדמות מקצועית חשובה, אבל היא מחייבת תוכנית תפעולית ולא רק רישיון לתוכנה.

המודל לא בהכרח יצר את החוב. הוא הפך אותו לגלוי

במערכות ותיקות מצטברים רכיבי תוכנה מיושנים, תלות בספקים, הרשאות עודפות ופתרונות זמניים שנשארו בייצור. חלק מהבעיות מוכרות; אחרות לא התגלו בבדיקות קודמות. כלי גילוי חזק עשוי להקדים את הרגע שבו ההנהלה נאלצת להתמודד איתן.

לכן צריך להפריד בין עלות השימוש ב־AI, עלות תיקון חוב אבטחה קיים ועלות שינוי שיטת העבודה. בלי ההפרדה הזו, אפשר להסיק בטעות שהמודל יקר מדי, כאשר בפועל הוא חשף התחייבות תפעולית שהארגון כבר נשא בה.

גם הכיוון ההפוך מסוכן: לא כל ממצא הוא חולשה ניתנת לניצול, ולא כל חולשה מצדיקה עצירת פיתוח. ממצא צריך לעבור אימות, בדיקת חשיפה והערכת השפעה עסקית. ריבוי התראות אינו מדד מספק להצלחה.

הערך של AI באבטחת מידע אינו מספר הבעיות שהוא מציף, אלא היכולת להפחית סיכון בלי לשתק את הארגון.

ההבחנה הזו חשובה במיוחד בחברות ישראליות שבהן אותם אנשי פיתוח אחראים גם למוצר, גם לתחזוקה וגם לתיקוני אבטחה. כל טיפול דחוף מתחרה בהתחייבות ללקוח או בהשקת יכולת חדשה. זו החלטה עסקית, לא רק החלטה של צוות האבטחה.

צוואר הבקבוק עובר מגילוי לביצוע

אחרי שמתקבלת התראה צריך להבין אם היא אמיתית, לזהות בעל מערכת, להכין תיקון, לבדוק שלא נשברה פונקציונליות, לקבל אישור לשינוי ולוודא שהסיכון אכן פחת. במערכות רגישות נדרשת גם אפשרות חזרה לאחור.

אם AI מאיץ רק את החלק הראשון, שאר השרשרת עלולה להיתקע. לכן השאלה הנכונה לפני רכישה היא: מה יקרה אצלנו ביום שבו הכלי ימצא יותר בעיות מכפי שהצוות מסוגל לטפל בהן?

הטבלה אינה מציעה לוותר על גילוי. היא מציעה לחבר אותו לאחריות וליכולת ביצוע. כלי שלא משתלב בתהליך הטיפול עלול להפוך למערכת נוספת שמייצרת עבודה לאחרים.

אדם בלולאה, אבל לא אדם שמאשר כל פעולה

בתהליכי אבטחה, שיקול דעת אנושי הוא רכיב קריטי. עם זאת, אם כל ממצא מחייב אנליסט לקרוא, להעתיק, לתעד ולנתב ידנית, הארגון ישמר את צוואר הבקבוק ויוסיף לו שכבת טכנולוגיה.

התכנון הנכון הוא פיקוח לפי סיכון. סוכן AI יכול לאסוף הקשר, להציע שיוך לבעל מערכת, להכין טיוטת משימת תיקון ולרכז ראיות. כל אלה כפופים להרשאות, להגנת מידע ולבדיקות איכות. שינוי רגיש בייצור או החלטה לקבל סיכון עסקי צריכים להישאר תחת סמכות אנושית מוגדרת.

1. 01

   מאמתים את הממצא

   בודקים שהחולשה קיימת ורלוונטית לסביבה, במקום להסתמך על פלט המודל בלבד.

2. 02

   מדרגים לפי חשיפה עסקית

   משקללים אפשרות ניצול, רגישות מידע ותלות של תהליכים עסקיים במערכת.

3. 03

   מקדמים טיפול מבוקר

   משתמשים באוטומציה לאיסוף הקשר, לניתוב ולהכנת תיקון בגבולות הרשאה ברורים.

4. 04

   מסלימים החלטות רגישות

   מעבירים לאדם שינויים משמעותיים, חריגות וחוסר ודאות מהותי.

5. 05

   מאמתים סגירה

   מוודאים שהטיפול הפחית את הסיכון ולא רק סגר משימה במערכת.

כך הפיקוח האנושי מתמקד במקום שבו הוא נחוץ. המטרה היא להגדיל את היקף הפעילות שאיש מקצוע מסוגל לנהל, בלי להפוך אותו לחותמת גומי ובלי לתת לסוכן חופש פעולה בלתי מוגבל.

לשם כך דרושה תשתית ארגונית לניהול סוכנים: זהויות נפרדות, הרשאות מצומצמות, תיעוד פעולות, הערכת איכות ויכולת עצירה. לצד התשתית נדרשת אוריינות AI לעובדים, כדי שיבינו כיצד לבחון המלצה, לזהות חוסר ודאות ולדווח על כשל. פיתוח סוכנים והכשרת אנשים הם מסלולים משלימים.

סמנכ״ל הכספים צריך להפריד בין הבטחה לתזרים

לפי הדיווח, הנהלת בנק אמריקה הציגה תחזית לחיסכון של 300 מיליון דולר בשנה שאליה התייחסו הדברים ושל 700 מיליון דולר בשנה שלאחריה. אלה תחזיות, לא חיסכון שכבר מומש. במקביל דווח על הוצאות של מאות מיליוני דולרים ברבעון על תיקוני תוכנה; אין לייחס אוטומטית את מלוא ההוצאה למודל יחיד.

בארגון ישראלי כדאי לנהל בנפרד את ההשקעה הראשונית, עלות ההפעלה השוטפת והתועלת שנמדדה בפועל. קיצור זמן עבודה אינו בהכרח חיסכון כספי: לפעמים הוא מאפשר לצוות לטפל ביותר משימות, בלי להקטין את התקציב. גם זו תועלת חשובה, אך צריך לקרוא לה בשמה.

מדידה שימושית תכלול זמן מסגירת ממצא מאומת ועד תיקון, שעות מומחה לכל טיפול, שיעור פתיחה מחדש של תקלות והשפעה על זמינות המערכת. מדדי אבטחה חייבים להופיע לצד מדדי תפוקה, כדי שלא נעודד סגירת כרטיסים מהירה על חשבון איכות.

ספק שמזהה בעיה אינו צריך להחליט לבדו על הטיפול

הדיווח מעלה גם שאלה מסחרית: מה קורה כאשר ספק הטכנולוגיה שמזהה את הבעיות מוכר גם יכולות לטיפול בהן? אין בכך הוכחה לניגוד עניינים פסול, אך יש כאן תמריץ שדורש ממשל רכש ברור.

גם כשמעריכים את החדשנות של Anthropic ואת היכולות של Claude, אסור להחליף בדיקה מקצועית באמון במותג. ההחלטה אילו ממצאים לתקן, באיזה סדר ובאיזו עלות צריכה להישען על ראיות ועל האינטרס של הארגון.

בפועל, ההפרדה יכולה להיעשות באמצעות צוות פנימי מוסמך או בדיקה חיצונית בלתי תלויה במקרים מהותיים. בבחירת המובילים נדרשים ידע עמוק ב־AI, בסיס אקדמי רלוונטי וניסיון בהפעלת מערכות ותהליכים עסקיים. היכרות עם כלי חדש אינה תחליף לכישורים האלה.

לפני הפיילוט הבא, בדקו מי יסגור את הממצאים

הלקח מבנק אמריקה אינו להימנע מ־AI. להפך: איתור מוקדם של חולשות יכול להיות בעל ערך עצום. הלקח הוא לתכנן מראש מה יקרה כשהכלי יצליח.

לפני הרחבה ארגונית, ודאו שלכל ממצא יש בעלים, שלכל רמת סיכון יש מסלול טיפול, ושיש תקציב לבדיקות ולתיקון, לא רק לגילוי. הפעילו פיילוט בהיקף שאפשר להכיל ובחנו את התהליך מקצה לקצה.

אם הפיילוט מוכיח רק שהמודל יודע למצוא בעיות, הוא עדיין לא הוכיח שהארגון יודע להפיק ממנו ערך. ההוכחה מגיעה כשהסיכון פוחת, זמן הטיפול מתקצר והצוות מסוגל לנהל יותר עבודה בלי לאבד שליטה.