מתקפות סייבר הופכות למלחמות מחשוב

בספטמבר 2025, קבוצת תקיפה המזוהה עם ממשלת סין הפעילה סוכני בינה מלאכותית נגד כשלושים מטרות. המודל ביצע 80 עד 90 אחוז מהעבודה הטקטית; בני אדם בחרו את המטרות והתערבו בארבע עד שש החלטות בכל מבצע.

מפעיל אחד יכול כעת להריץ סוכנים רבים נגד אותה מטרה במקביל. המחשוב קובע כמה ניסיונות רצים בו זמנית וכמה זמן כל אחד מהם יכול לפעול.

ראיתי את המטריקס בערך בגיל שתים עשרה וחשבתי הרבה אם זה אפשרי. מה שהפחיד אותי היה שהכל שם מתמטיקה, ובאותה שנה עצמה למדתי מתמטיקה בבית הספר, בזמן שהסרט עוד היה בקולנוע.

הסרט משתבח עם השנים כמו יין טוב, והיום הוא נראה אמיתי יותר מאי פעם. אם הכל מתמטיקה, והצלחנו להכניס בינה לתוך המתמטיקה, וכוח המחשוב הוא שמבצע את החישובים, אז המחשוב הוא מה שתוקף ומה שמגן.

מפעיל סייבר יכול להפעיל סוכן דרך חשבון ענן ולאפשר לו לחקור מטרות, לבדוק מערכות חשופות, לכתוב כלים ולבדוק תוצאות לפני שהוא מנסה שוב לאורך נתיבים רבים. מערכת התזמור משכפלת אותו על פני אשכול השרתים כמו שסוכן סמית משכפל את עצמו שוב ושוב; כל עותק מחפש דרך אחרת לחדור לאותו יעד, נחיל של זקיפים שסורקים במקביל.

מה מראות המדידות

במרץ 2026 פרסם המכון הבריטי לאבטחת בינה מלאכותית תוצאות ממתקפה מדומה בת 32 שלבים על רשת ארגונית. באותו תקציב של 10 מיליון טוקנים, GPT-4o (גרסת אוגוסט 2024) השלים בממוצע 1.7 שלבים, ו-Claude Opus 4.6 השלים 9.8 שלבים. הכפלת התקציב פי עשר שיפרה את הביצועים בעד 59 אחוז, ללא התייצבות בטווח שנבדק. הסביבות האלה היו מבוקרות וללא מגינים פעילים; דיווחי שטח מראים אוטונומיה הולכת וגדלה, בעוד שמתקפות מקצה לקצה עדיין שנויות במחלוקת.

ניסיון של Opus 4.6 עם 100 מיליון טוקנים עלה כ־80 דולר עם שמירת הנחיות במטמון. מפעיל יכול להשקיע את התקציב במסלול ארוך אחד או בניסיונות עצמאיים רבים; מסלול ארוך יכול להתאושש מטעויות, בעוד שניסיונות מקבילים חוקרים יותר נתיבים בו זמנית. אי אפשר להמיר טוקנים ישירות למגה־ואט. צריכת החשמל תלויה באופן שבו המודל מופעל ובתשתית שמשרתת אותו.

AISI גם עוקב אחר אופק הזמן בסייבר, ומודד כמה זמן סוכן יכול לפעול ברמת אמינות של 80 אחוז תחת מגבלת טוקנים קבועה. נכון לפברואר 2026, אופק זה הוכפל בערך מדי 4.7 חודשים.

במאי דיווחה Google בסבירות גבוהה שגורם עברייני השתמש בבינה מלאכותית כדי לסייע בגילוי ובהפיכת חולשת יום אפס לכלי תקיפה. היא גם תיעדה נוזקה שהשתמשה במודל כדי לפרש את מצב המערכת וליצור פקודות באופן דינמי.

ב־1 ביולי דיווחה Sysdig על מה שהעריכה כמבצע הכופרה הראשון שתועד ובוצע מקצה לקצה בידי סוכן AI. הסוכן הסתגל לשגיאות, ביסס אחיזה מתמשכת במערכת, הגיע למסד נתונים בסביבת ייצור והשמיד נתונים. Sysdig לא ראתה מהיכן הגיעו פרטי ההתחברות לחשבון root של השרת הסופי, ולא הצליחה לאמת באופן עצמאי את טענת הסוכן כי הצליח להדליף נתונים. שישה ימים לאחר מכן, ה־NCSC הבריטי אמר שעדיין לא ראה מתקפה אוטונומית לחלוטין לאורך כל מחזור החדירה; מקרה Sysdig הוא ראיה חשובה, אך עדיין אין הסכמה שזה אכן היה המקרה הראשון.

בכל המקרים האלה, צירי החדירה נשארו מוכרים: תוכנה חשופה, עדכונים חסרים, פרטי גישה שניתנים לשימוש חוזר ושירותים פנימיים נגישים.

המודל הוא רק חלק אחד מהתוקף

נתוני שימוש של ספק יכולים לחשוף פעילות שחוקרים מבחוץ אינם יכולים לראות. במקרה של ספטמבר 2025, יומני Anthropic הראו שהמודל ביצע 80 עד 90 אחוז מהעבודה הטקטית בעוד שבני אדם בחרו את המטרות והתערבו בארבע עד שש החלטות מכריעות בכל מבצע. רק כמה חדירות הצליחו. הדוח הציבורי אינו מאפשר לגורמים מבחוץ לשחזר באופן עצמאי את הייחוס, את מידת האוטונומיה או את כלל המקרים.

המערכת שסביב המודל קובעת אילו כלים הוא יכול להפעיל, כמה עותקים שלו יכולים לרוץ במקביל ולכמה זמן, אילו תוצאות נבדקות ומה נשמר למפגש הבא. AISI שיפר תשתית סוכן אחת והגיע לאותה רמת הצלחה בסט הפיתוח של מבחן הסייבר בכשמינית מתקציב הטוקנים הקודם.

מה שהמתזמר שומר בין מפגשים הוא מצב היעד: פרטי גישה תקפים, טופולוגיית רשת, גרסאות תוכנה ואיך היעד הגיב לניסיונות קודמים, כולל אילו נתיבים כבר נכשלו. מצב מדויק הוא מה שהופך ניסיונות נפרדים למבצע; מצב מיושן או שגוי שולח ניסיונות עתידיים בנתיבים שכבר נכשלו.

תגובה משירות, פרטי גישה תקפים, הרשאה שהשתנתה או שאילתה מוצלחת למסד נתונים נותנים לסוכן משוב מובנה שהסוכן יכול לפעול על פיו. יומנים עמומים, כותרות מטעות, מלכודות דבש ופרטי גישה שפועלים לסירוגין או שפג תוקפם שולחים אותו לנתיב הלא נכון, וזיכרון שמור יכול לשמר את השגיאות האלה בין מפגשים. לכן אימות הוא חלק מיכולת התקיפה, לצד המודל ותשתית הסוכן.

מחקר שטרם עבר ביקורת עמיתים מיוני 2026 בנושא AgentCyberRange מצא שסוכנים המבוססים על מודלי חזית פספסו משטחי תקיפה נסתרים, הפעילו מלכודות דבש והשאירו אחריהם לוגים שהיו יכולים להתריע על פעילותם. המחשוב מייצר יותר ראיות לשני הצדדים.

מחקר שטרם עבר ביקורת עמיתים מיוני 2026 בדק תולעת שנבנתה כהוכחת היתכנות ברשת מבודדת ופגיעה במכוון שכללה 33 מחשבים. בחמש עשרה ריצות של שבעה ימים היא ניצלה כ־74 אחוז מהמחשבים ושכפלה את עצמה לכ־62 אחוז מהם, ללא זיהוי בנקודות קצה או הגנת חומת אש פעילה. התוצאה מדגימה הפצה אוטונומית בתנאים מבוקרים, לא הפצה בארגון מוגן.

השערים

מה בעצם צריך להתקיים כדי שחדירה תצליח? שלושה תנאים התלויים זה בזה: גישה, כלומר נתיב למערכת וזהות תקפה; התקדמות, כלומר הרשאות מספיקות לתנועה בתוך הרשת ומשוב שמראה מה עובד; ותוצאה, כלומר דרך להגיע למידע או להשפעה הרצויה לפני הגילוי.

הצפנה סימטרית של 128 סיביות שמומשה כהלכה אינה מעשית לפיצוח בכוח גס באמצעות מחשוב רגיל. במקום זאת, סוכנים מחפשים מפתחות גנובים, מחוללי מספרים אקראיים חלשים, חולשות בפרוטוקול או בערוצים צדדיים, ומימושים פגומים. בקרות פיזיות כגון מודולי אבטחת חומרה, קישורים חד כיווניים ומנגנוני אישור יכולות לחייב את המבצע לעבור גבול שמחשוב לבדו אינו יכול לחצות.

סגמנטציה של הרשת מגבילה את הנזק שניתן לגרום מדריסת רגל אחת, אימות עמיד בפני דיוג מגביל מתקפות באמצעות סיסמאות גנובות, וטלמטריה טובה נותנת למגינים תמונה שהתוקף נאלץ לשחזר מבחוץ. הגעה להשפעה תעשייתית מוסיפה עבודת הנדסה, פרוטוקולים קנייניים, מערכות בטיחות עם תזמון מדויק, ולעיתים קרובות גם מנגנון בטיחות המחייב אישור אנושי או פיזי.

סריקות מקבילות ובקשות ענן חריגות, כניסות כושלות, ותהליכים חדשים או שגיאות חוזרות בכלים, כל אלה מייצרים רעש שקל לזהות. יותר מחשוב עשוי לשפר את החיפוש ובו בזמן לקצר את הזמן עד שהמגן יבחין בו. גם מנגנוני הבקרה של ספק השירות משפיעים על מודלים שמופעלים כשירות ענן: בדיקות זהות, הגבלת קצב, זיהוי שימוש לרעה וחסימת חשבונות מוסיפים חיכוך. מודלים בעלי משקולות פתוחות ותשתית גנובה מצמצמים את הנראות הזאת, אך משאירים בידי התוקף את האחריות להפעיל ולהסתיר את המערכת.

ככל ששרשרת הפעולות ארוכה יותר, הסיכוי לכשל מצטבר. להמחשה בלבד, אם כל אחד מ־32 שלבים בלתי תלויים היה מצליח ב־90 אחוז מהמקרים, שיעור ההצלחה מקצה לקצה היה כ־3.4 אחוז. שלבי תקיפה אמיתיים אינם עצמאיים לגמרי, וכל שלב יכול לכלול יותר מניסיון אחד. סוכנים יכולים להתאושש מחלק מהכשלים, בעוד שכל ניסיון חוזר צורך זמן ומשאיר יומנים.

גם ההגנה מתרחבת

גם המגן הוא מערכת מבצעית. בדיקה אנושית לבדה לא יכולה להתמודד עם אלפי ניסיונות מקבילים, ולכן ההגנה חייבת לחבר בזמן אמת בין הקוד והזהויות המורשים, המקומות שבהם הם פועלים (נקודות קצה, רשת, ענן) ומלאי הנכסים הארגוני, דרך תהליכים שפועלים במהירות מכונה.

ה־Cyber Shield, תוכנית האב של מרכז הסייבר הלאומי של בריטניה, מתארת את המודל הזה בקנה מידה לאומי: סוכנים מבוזרים שסורקים ומגלים חולשות ברמה הלאומית, משתפים ומתאמים התרעות, ומתקנים במהירות תחת סמכות בעלי המערכות. הסוכנים נעים מהר; זכות הווטו על שינויים בסביבת הייצור נשארת בידי בעלי המערכות.

מגינים עשויים להתחיל עם קוד מקור, רשימת נכסים, טלמטריה מנקודות קצה וממערכות זהות, והרשאה להפיץ תיקון לכלל המערכות. תוקפים צריכים לגלות את העובדות האלה מבחוץ.

אתגר הסייבר בבינה מלאכותית של DARPA מ־2025 העמיד מערכות אוטונומיות מול 54 מיליון שורות של תוכנה אמיתית. שבע המערכות שעלו לגמר מצאו 54 מתוך 63 חולשות שהוטמנו, תיקנו 43 וזיהו 18 חולשות אמיתיות שהמארגנים לא הטמינו. הצוותים הגישו תיקונים בתוך 45 דקות בממוצע והוציאו כ־152 דולר לכל משימה בתחרות.

כאשר בניסוי BountyBench נתנו לסוכנים מידע על החולשה במקום לבקש מהם למצוא אותה בעצמם, הסוכנים הטובים ביותר יצרו תיקונים שמערכת האימות אישרה בכ־90 אחוז מהמקרים. מגן שעובד בקוד שלו עצמו עשוי להתחיל בדיוק עם היתרון הזה.

כמה מהר צריך להגדיל את כוח המחשוב?

שני תקציבי המחשוב תלויים זה בזה. יותר כוח מחשוב בצד התוקף פירושו יותר סוכנים, יותר נתיבים ויותר ניסיונות חוזרים, מה שנותן למגינים יותר פעילות לעבד; יותר כוח מחשוב הגנתי מאפשר גילוי, תיקון, בידוד והטעיה מהירים יותר, מה שמכריח את התוקפים להשקיע יותר מחשוב במציאת נתיב שעדיין עובד. כל צד מעלה את תקציב התפעול המינימלי של הצד השני.

למגינים אולי יש את יתרון הנתונים, אך השימוש בו גם עולה במחשוב. קוד ופרטי זהות, מלאי תשתית, וטלמטריה של רשת חייבים להיות מקושרים ומנותחים ברציפות כדי לפעול לפיהם. יותר קונטקסט משפר החלטה בודדת, אך ניתוח הקונטקסט הזה על פני הסביבה כולה הוא מה שמעלה את עלות המחשוב. נתונים נותנים למגינים יתרון מידע; המחשוב קובע אם הם יכולים להשתמש בו במהירות ובקנה המידה של המתקפה.

יריב עם תקציב היסק גדול משמעותית יכול לסרוק ברציפות את כל משטח התקיפה, לייצר כלי ניצול חדשים מכל תוצאה ולהתחיל מחדש אחרי כל כישלון. יותר תקציב פירושו יותר ניסיונות; הפער בין הצדדים הוא בעיית תשתית.

תוקף עם שבועות ותקציב יכול גם להריץ את לולאת השיפור: לבחון שיטות לכתיבת פרומפטים, לשכתב את תשתית הסוכן והכלים שלו, לבצע כוונון עדין על בסיס כישלונות שלו עצמו, ולהשיק שוב. כל ריצה מזינה את הבאה. המחשוב משלם על אבולוציה, לא על היסק.

אותו היגיון פועל בכיוון ההפוך. מגן כבר מחזיק במה שתוקף מוציא את רוב תקציבו כדי לשחזר מבחוץ: קוד מקור, רשימת נכסים, טלמטריה וסמכות לפרוס תיקון. AIxCC של DARPA תיקן חולשות אמיתיות בממוצע של 45 דקות; ב-BountyBench, כ-90% מהתיקונים התקבלו כאשר הסוכנים התחילו עם גישה לקוד. היתרון הזה קיים רק אם המחשוב להרצת הסוכנים האלה נמצא שם. הפעולות הרגישות ביותר בצד ההגנה קשות לביטול ועלולות לגרום נזק: שלילת הרשאות, בידוד מקטע, עדכון בסביבת ייצור. המחשוב צריך חדר בקרה מאחוריו.

לממשלות ולארגונים גדולים, שאלת ההיערכות מצטמצמת לתשתית: אנרגיה, שבבים וקיבולת להרצת מודלים שמספיקה להפעיל סוכנים שתוקפים את המערכות שלהם ברציפות לפני שמישהו אחר יעשה זאת, ומתקנים את מה שמוצאים.

המחשוב הזה עוסק בהיסק גם בשאר הזמן. מערך המחשוב שמעבד מחקר, לוגיסטיקה וקוד בשעות הרגילות הוא אותו מערך המחשוב שניתן להפנות לסוכני הגנה לפי דרישה. סוכן סמית מעתיק את עצמו בשני הכיוונים. מדינה שבונה זאת לצורך תפוקה כלכלית כבר מחזיקה ביכולת ההגנה. מי שממתינה לאיום שיצדיק את ההשקעה תגלה שהמחשוב לא יהיה שם כשיצטרכו אותו.

כשהייתי בן שתים עשרה הנחתי שאם כל זה יתממש אי פעם, יהיה שם ניאו. במציאות הזאת אין ניאו, או לפחות עדיין לא, רק מפעילים עם תקציבים משני הצדדים. אני לא יודע אם ההגנה תקבל אי פעם משהו טוב יותר מעוד כוח מחשוב שמופנה לכיוון השני.

---

שי מגזימוף

---