איך הבינה המלאכותית עלולה להקשות על ממשלות להשתמש בכלי האקינג

איך הבינה המלאכותית עלולה להקשות על ממשלות להשתמש בכלי האקינג

במשך שנים התקיים בעולם הסייבר איזון שברירי. חברות טכנולוגיה הצפינו מכשירים ושיחות כדי להגן על המשתמשים, ואילו רשויות אכיפה ומודיעין רכשו כלי פריצה שאפשרו להן, בכפוף למסגרת החוקית הרלוונטית, לחדור למכשירים של חשודים.

כעת נכנסת למשוואה הבינה המלאכותית. אם מערכות AI ילמדו לזהות חולשות תוכנה במהירות, לסרוק כמויות עצומות של קוד ולהציע תיקונים לפני שהחולשות מנוצלות, מלאי הבאגים שעליו נשענת תעשיית כלי ההאקינג הממשלתיים עשוי להצטמצם. זאת עדיין השערה, אבל היא כבר מעוררת ויכוח עמוק בקרב קריפטוגרפים, חוקרי אבטחה ומפתחי כלי תקיפה.

הפרדוקס ברור: תוכנה בטוחה יותר היא יעד רצוי כמעט לכל ארגון ואדם. אלא שאותה אבטחה יכולה להקשות גם על ממשלות לחדור למכשירים במסגרת חקירות. אם האפשרות הטכנית הזאת תצטמצם, עלול לחזור הלחץ להחליש את ההצפנה עצמה.

הטענה שמטלטלת את קהילת אבטחת המידע

פרופסור הקריפטוגרפיה מתיו גרין העלה את התרחיש הזה בדיון שעורר תשומת לב רבה בקהילת הסייבר. הטיעון שלו אינו שבינה מלאכותית תעלים את כל הבאגים, אלא שהיא עשויה לשנות את היחס בין קצב יצירתם לבין קצב איתורם ותיקונם.

כיום, תוכנות מורכבות כוללות מיליוני שורות קוד, רכיבי קוד פתוח, ממשקים לשירותים חיצוניים ותלויות שנכתבו בידי ספקים שונים. המבנה הזה יוצר חולשות. חלקן פשוטות יחסית, אחרות דורשות מחקר ממושך, ולעיתים כמה חולשות נפרדות מתחברות לשרשרת תקיפה אחת.

כלי AI מסוגלים כבר לסייע בניתוח קוד, בבדיקת התנהגות חריגה ובאיתור דפוסים שעשויים להעיד על בעיית אבטחה. ככל שהכלים ישתפרו, חברות יוכלו להפעיל אותם באופן רציף במהלך הפיתוח, בבדיקות האיכות ולאחר השקת המוצר. חולשה שפעם הייתה ממתינה חודשים עד שחוקר אנושי יבחין בה עשויה להתגלות מוקדם יותר.

אם התהליך הזה יעבוד בקנה מידה רחב, כלי הפריצה הממשלתיים ייתקלו בסביבה עוינת יותר: פחות חולשות זמינות, חלון ניצול קצר יותר ועלות גבוהה יותר לפיתוח תקיפה אמינה.

מדוע ממשלות זקוקות בכלל לחולשות תוכנה?

כדי להבין את הוויכוח, צריך לחזור להתפשטות ההצפנה מקצה לקצה. באפליקציות כמו Signal, WhatsApp ו-iMessage, תוכן ההודעה מוצפן כך שבדרך כלל רק המכשירים המשתתפים בשיחה יכולים לקרוא אותו. גם ספקית השירות אינה אמורה להחזיק מפתח שמאפשר לה לפתוח את תוכן השיחה לפי דרישה.

במקביל, יצרניות מכשירים כמו אפל חיזקו את ההצפנה של המידע המאוחסן בטלפונים. קוד גישה חזק, רכיבי אבטחה ייעודיים והגנות נוספות הופכים גישה ישירה לנתונים למשימה מורכבת.

רשויות אכיפה תיארו את המצב באמצעות הביטוי “Going Dark” — אובדן היכולת לקבל מידע שנדרש לחקירה, גם כאשר קיים צו מתאים. אחד הקולות הבולטים בדיון היה מנהל ה-FBI לשעבר ג'יימס קומי, שהזהיר כבר ב-2014 מפני השפעת ההצפנה על יכולת החקירה.

אלא שהרשויות לא נותרו בלי אפשרויות. במקום לשבור את ההצפנה המתמטית, הן יכולות לנסות לעקוף אותה באמצעות חדירה למכשיר הקצה. אם הודעה מוצפנת בזמן המעבר אך מוצגת על מסך הטלפון, שליטה בטלפון עשויה לאפשר גישה אליה לפני ההצפנה או לאחר הפענוח.

כאן נכנסים לתמונה כלי האקינג ותוכנות ריגול. חלקם מנצלים חולשות שעדיין אינן מוכרות ליצרן ולכן טרם תוקנו. חולשות כאלה מכונות “יום אפס” או Zero-Day. הן עשויות להיות יקרות, נדירות ובעלות אורך חיים מוגבל: ברגע שהן נחשפות ומתוקנות, ערכן המבצעי יורד במהירות.

הפשרה הלא נוחה שעלולה להתפרק

בפועל נוצרה פשרה לא רשמית. הציבור נהנה מהצפנה חזקה כברירת מחדל, והרשויות אינן מקבלות מפתח כללי שפותח את מכשיריהם של כולם. כאשר יש צורך מבצעי, הן מנסות להשיג גישה נקודתית באמצעות חולשה טכנית, כלי פורנזי או תוכנת ריגול.

גם הפשרה הזאת רחוקה משלמות. כלי ריגול שנועדו לכאורה למטרות חוקיות תועדו לאורך השנים בשימוש נגד עיתונאים, פעילי זכויות אדם ומתנגדי משטר. בנוסף, ממשלה ששומרת חולשה בסוד כדי להשתמש בה משאירה לעיתים גם אזרחים ועסקים חשופים, משום שתוקפים אחרים עשויים לגלות את אותה חולשה באופן עצמאי.

עם זאת, מבחינה ארכיטקטונית יש הבדל חשוב בין חולשה נקודתית לבין דלת אחורית מובנית. חולשה יכולה להיסגר לאחר גילויה. דלת אחורית היא מנגנון שתוכנן מראש כדי לאפשר גישה חריגה למערכת או למידע.

אם AI יצמצם משמעותית את היכולת למצוא חולשות שימושיות, ממשלות עשויות לחדש את הדרישה ל“גישה יוצאת דופן”: מנגנון שיאפשר לפענח מידע או להיכנס למכשיר בהתקיים צו. מבחינת תומכי ההצפנה, זו אינה רק שאלה של פרטיות. מנגנון גישה שנבנה עבור גורם מורשה עלול להפוך ליעד עבור מדינות יריבות, ארגוני פשיעה, עובדי פנים ותוקפים מסחריים.

האם AI באמת יעלים את הבאגים?

כאן מתחילה המחלוקת המקצועית. חוקרים אחדים סבורים שהיתרון יעבור בהדרגה למגינים. מערכות AI אינן מתעייפות, יכולות לסרוק גרסאות קוד רבות ולחפש וריאציות של חולשה מוכרת. הן גם עשויות להשתלב ישירות בכלי הפיתוח ולזהות בעיה עוד לפני שהקוד מגיע ללקוחות.

לונה טונג, חוקרת בעלת ניסיון בחברות שחיפשו חולשות ופיתחו כלי ניצול עבור לקוחות ממשלתיים, תמכה בכיוון הכללי של הטענה. לפי הגישה הזאת, שפע הבאגים הנוכחי אינו בהכרח מצב קבוע. ככל שיכולת הבדיקה האוטומטית תשתפר, החולשות הפשוטות והנפוצות יהיו הראשונות להיעלם.

גם פאולו סטגנו, מנהל הטכנולוגיות של Crowdfense, הצביע על המתח שייווצר אם איתור חולשות יהפוך לקשה במיוחד. Crowdfense פועלת בשוק הרגיש של רכישת חולשות לא מוכרות ומכירת יכולות ללקוחות ממשלתיים. מנקודת מבט זו, הקטנת ההיצע אינה מבטלת את הביקוש למעקב; היא רק עשויה לדחוף ממשלות לחפש דרכים אחרות.

מנגד, אנשי אבטחה התקפית טוענים כי המסקנה מוקדמת מדי. תוכנה אינה מערכת סגורה. בכל יום מתווספים שירותי ענן, ממשקי API, רכיבי צד שלישי, מערכות הפעלה ויישומים שנוצרו במהירות. כל שינוי יכול לסגור חולשה אחת ולפתוח אחרת.

גם אם AI יזהה באגים פשוטים, חולשות מורכבות יותר עשויות להישאר. תקיפה מתקדמת אינה תמיד מבוססת על שגיאת תכנות בודדת. לעיתים היא משלבת טעות לוגית, הרשאות שגויות, אינטראקציה בלתי צפויה בין רכיבים והטעיה של המשתמש. קשה יותר לזהות תרחישים כאלה באמצעות סריקה אוטומטית בלבד.

אותו כלי עובד גם עבור התוקף

הנחה נוספת שחשוב לבחון היא שהבינה המלאכותית תשרת רק את המגינים. בפועל מדובר בטכנולוגיה דו-שימושית. צוות אבטחה יכול להיעזר בה כדי לאתר חולשות; חוקר התקפי יכול להשתמש בה כדי לקרוא קוד, לבנות השערות ולמיין במהירות יעדים למחקר מעמיק.

חמיד קשפי, מייסד חברת האבטחה ההתקפית DarkCell, טען כי חולשות רבות עדיין אינן מדווחות. המשמעות היא שמספר הבאגים שהתגלו ותוקנו אינו בהכרח משקף את מלוא היקף הבעיה. AI עשוי להגדיל את מספר הגילויים בשני הצדדים, בלי להבטיח שהמגינים יגיעו ראשונים לכל חולשה.

יש גם גורם שמושך בכיוון ההפוך: יצירת קוד באמצעות כלי AI. כאשר עובדים ללא רקע הנדסי עמוק מפתחים אפליקציות, אוטומציות וכלים פנימיים בעזרת הנחיות בשפה טבעית, קל יותר להוציא מוצר לפועל. אבל קוד שעובד אינו בהכרח קוד בטוח.

אפליקציית No-Code שמחברת טופס לקוחות למסד נתונים, למערכת דיוור ולכלי תשלומים יכולה להיראות פשוטה. בפועל, היא כוללת הרשאות, מפתחות גישה, מידע אישי ומספר ספקים. הגדרה שגויה אחת עלולה לחשוף מידע גם בלי חולשה מתוחכמת במערכת ההפעלה.

אווה גלפרין, מנהלת תחום אבטחת הסייבר ב-Electronic Frontier Foundation ומומחית לתוכנות ריגול, הצביעה על שני הכוחות שפועלים במקביל: AI משתפר באיתור חולשות, אך פיתוח מהיר בעזרת AI עלול להכניס חולשות חדשות. יתרה מכך, גילוי בעיה אינו מבטיח שהיא תתוקן במהירות.

צוואר הבקבוק נמצא לא פעם בתיקון

גם מערכת שמזהה חולשה בדיוק גבוה אינה יכולה לבדה להשלים את העבודה. ארגון צריך להבין אילו מוצרים נפגעו, לקבוע סדר עדיפויות, לבדוק שהתיקון אינו משבש פעילות, להפיץ גרסה ולעיתים לשכנע לקוחות להתקין אותה.

במערכות ארגוניות ותיקות, תיקון עלול לדרוש השבתה, התאמות לספקים ובדיקות תאימות. במכשירי קצה, המשתמש עשוי לדחות את העדכון. במוצרי תוכנה כשירות אפשר להפיץ תיקון מהר יותר, אך גם שם נדרשת בדיקה כדי למנוע תקלה רחבה.

קייטי מוסוריס, מייסדת ומנכ"לית Luta Security ובעלת ניסיון רב בניהול חשיפת חולשות, העריכה כי הדרך למחשבים ולטלפונים נטולי בעיות עדיין ארוכה. זו הבחנה מרכזית: יכולת גילוי מתקדמת אינה זהה לחסינות, ובוודאי אינה מבטיחה שכל החולשות הקיימות ייעלמו.

מה המשמעות למנהלים ולחברות?

הוויכוח אינו רלוונטי רק לסוכנויות מודיעין. הוא משפיע על כל ארגון שמפתח מוצר, מחזיק מידע אישי או רוכש פתרונות ענן. אם AI יקצר את משך הזמן שבין הופעת חולשה לגילויה, חברות יצטרכו להגיב מהר יותר. תהליך עדכון שנמשך שבועות עלול להפוך לסיכון עסקי משמעותי.

מנהל מוצר, למשל, יצטרך לשלב בדיקות אבטחה כבר בשלב האפיון ולא רק לפני ההשקה. מנהל מערכות מידע יצטרך לדעת אילו נכסים קיימים, מי אחראי לעדכן אותם ואילו ספקים מחזיקים גישה למידע. מנהלי תפעול ושירות יידרשו לתכנן כיצד מתקנים תקלה בלי להשבית תהליך חיוני.

גם מדיניות השימוש ב-AI דורשת תשומת לב. עובד שמדביק קוד, פרטי לקוח או תיאור של מערכת פנימית לתוך כלי ציבורי עלול ליצור חשיפה שאינה קשורה כלל לבאג תוכנה. לכן אבטחה בעידן AI אינה רק רכישת כלי סריקה; היא שילוב של ממשל נתונים, ניהול הרשאות, הדרכה ותהליך תגובה ברור.

עבור חברות שמפתחות מוצרים ללא קוד או בקוד מועט, האחריות אינה נעלמת משום שהפלטפורמה מנהלת את התשתית. חשוב לבדוק כיצד היא מטפלת בהרשאות, בהצפנה, ביומני פעילות, בעדכוני אבטחה ובחיבור לשירותים חיצוניים. הנוחות התפעולית אינה תחליף לבקרות.

שלושה תרחישים אפשריים

בתרחיש הראשון, AI מחזק בעיקר את ההגנה. חולשות נפוצות מתגלות במהלך הפיתוח, עדכונים מופצים מהר וכלי פריצה הופכים ליקרים ונדירים יותר. ממשלות מגבירות את הלחץ לקבל גישה מובנית למכשירים ולשירותים מוצפנים.

בתרחיש השני נוצר מרוץ חימוש מאוזן. חברות משתמשות ב-AI לבדיקת קוד, וחוקרים התקפיים משתמשים בו למציאת מסלולי תקיפה חדשים. מספר הבאגים הפשוטים יורד, אבל חולשות מורכבות וטעויות תצורה ממשיכות לספק נקודות כניסה.

בתרחיש השלישי, קצב יצירת התוכנה גובר על קצב האבטחה. כלים אוטומטיים מאפשרים לארגונים להשיק יותר אפליקציות ואינטגרציות, אך גם מרחיבים את שטח התקיפה. במקרה כזה, ממשלות ותוקפים מסחריים אינם סובלים ממחסור בחולשות; הם פשוט מחפשים אותן בשכבות אחרות של המערכת.

סביר שהמציאות תכלול מרכיבים מכל שלושת התרחישים. מערכות מסוימות יהפכו בטוחות מאוד, בעוד שמוצרים אחרים יישארו חשופים בגלל קוד ישן, הרשאות רחבות או תחזוקה לקויה.

סיכום: מי מרוויח, מי נלחץ ומה עדיין לא ידוע

נושא	השפעה אפשרית של AI	המשמעות המעשית
איתור חולשות	סריקה מהירה ורחבה יותר של קוד ומערכות	חולשות עשויות להתגלות ולהיסגר מוקדם יותר
כלי האקינג ממשלתיים	פחות חולשות זמינות וחלון ניצול קצר יותר	עלייה בעלויות ובמורכבות של מבצעים נקודתיים
פיתוח תוכנה	האצת כתיבת קוד ואפליקציות	יותר מוצרים, אך גם סיכון לטעויות והרשאות שגויות
הצפנה	לחץ אפשרי ליצירת גישה מובנית אם הפריצה תיעשה קשה	עימות מחודש בין צורכי חקירה לבין אבטחה ופרטיות
ניהול ארגוני	קיצור הזמן בין גילוי חולשה לצורך בתגובה	נדרשים תהליכי עדכון, בקרה וניהול ספקים מהירים יותר

חמש שאלות שכל מנהל צריך לשאול

1. האם אנחנו יודעים אילו אפליקציות, אינטגרציות ורכיבי צד שלישי מחזיקים גישה למידע הרגיש שלנו?
2. כמה זמן עובר אצלנו מגילוי חולשה ועד להתקנת תיקון בסביבת הייצור?
3. האם קוד ואוטומציות שנוצרו בעזרת AI עוברים בדיקת אבטחה והרשאות לפני השקה?
4. כיצד הספקים שלנו מגיבים לחולשות, והאם קיימת התחייבות ברורה לדיווח ולעדכון?
5. האם מדיניות האבטחה שלנו נשענת על כלי טכנולוגי בלבד, או גם על אחריות, הדרכה ותהליך תגובה מתורגל?

הבינה המלאכותית אינה עומדת להפוך את התוכנה לחסינה בן לילה, וגם לא לבטל את יכולתן של ממשלות לבצע חדירות דיגיטליות. היא כן עשויה לשנות את כלכלת החולשות: להפוך באגים מסוימים לנדירים יותר, לקצר את חייהם ולהעלות את ערכם של מסלולי תקיפה מורכבים.

השאלה החשובה אינה רק אם AI יעזור למגן או לתוקף. השאלה היא מה יקרה כאשר האיזון הקיים בין הצפנה, חקירה ואבטחת הציבור יפסיק לעבוד. אם התשובה תהיה בניית דלתות אחוריות, תוכנה בטוחה יותר עלולה להוביל דווקא למערכות חלשות יותר. אם התשובה תהיה השקעה בחקירה ממוקדת, פיקוח ותהליכי אבטחה טובים יותר, ייתכן שהטכנולוגיה תחזק גם את הפרטיות וגם את הביטחון — בלי להעמיד אותם כאילו אי אפשר לקיים את שניהם.