ההבדל בין צ'אטבוט לסוכן AI הוא שהסוכן לא רק עונה, הוא גם עושה: קובע תורים, מעדכן לידים, שולח הודעות ושולף נתונים. כדי לעשות את כל זה הוא צריך גישה למערכות של העסק, וכאן נמצאת השאלה החשובה ביותר בפרויקט: כמה גישה לתת. מעט מדי, והסוכן לא יביא ערך. יותר מדי, וכל טעות או ניסיון תקיפה יכולים להפוך לנזק אמיתי. המדריך הזה מסביר איך מתכננים הרשאות לסוכן AI לעסק בצורה שמאזנת בין תועלת לבטיחות.
למה הרשאות הן נקודת התורפה של סוכני AI
ארגון OWASP, שמפרסם את רשימות הסיכונים המוכרות בעולם אבטחת התוכנה, מגדיר סיכון בשם "סוכנות מופרזת" (Excessive Agency). הכוונה למצב שבו מערכת מבוססת מודל שפה מבצעת פעולות מזיקות בגלל פלט שגוי, לא צפוי או מניפולטיבי. לפי OWASP, לא משנה למה המודל טעה, אם זו "הזיה" או הוראה זדונית שהוחדרה אליו. מה שקובע את גודל הנזק הוא מה הסוכן מסוגל לעשות. OWASP מונה שלושה שורשים לבעיה:
- יותר מדי יכולות – הסוכן מחובר לכלים שהוא לא צריך, למשל כלי שקורא מיילים וגם יכול לשלוח ולמחוק אותם.
- יותר מדי הרשאות – הכלי מחובר עם משתמש שיש לו גישה רחבה, למשל חשבון מנהל ב-CRM במקום משתמש מוגבל.
- יותר מדי אוטונומיה – הסוכן מבצע פעולות משמעותיות בלי שאדם מאשר אותן.
ברשימה נפרדת שפרסם OWASP לסיכונים באפליקציות מבוססות סוכנים, מופיעים בין היתר חטיפת מטרת הסוכן, שימוש לרעה בכלים וניצול זהות והרשאות. המסקנה העקרונית זהה: מגבילים מה הסוכן מורשה לעשות, ולא רק מה הוא "אמור" לעשות.
שלוש שאלות לפני שנותנים לסוכן גישה
- מה הסוכן חייב לראות? אם הוא עונה ללקוחות על סטטוס הזמנה, הוא צריך לראות את ההזמנה של הלקוח שמולו, לא את כל טבלת ההזמנות.
- מה הסוכן חייב לעשות? רשמו את הפעולות במפורש: "ליצור ליד", "לעדכן סטטוס", "לקבוע תור". כל פעולה שלא ברשימה לא מקבלת הרשאה.
- מה קורה אם הוא טועה? לכל פעולה שאלו כמה זה עולה ואם אפשר לבטל. התשובה קובעת אם הסוכן מבצע לבד או שאדם מאשר.
רמות הרשאה: מה לתת ומה לא
| רמה | דוגמאות | המלצה |
|---|---|---|
| קריאה בלבד | שעות פעילות, מחירון, סטטוס הזמנה של הלקוח המזוהה, זמינות ביומן | מתאים לרוב הסוכנים. מגבילים לשדות ולרשומות הרלוונטיים בלבד |
| כתיבה מוגבלת | יצירת ליד, הוספת הערה, קביעת תור, פתיחת משימה לנציג | לבצע אוטומטית, עם תיעוד מלא של כל פעולה |
| שינוי או מחיקה | מחיקת רשומות, שינוי מחיר, עדכון פרטי לקוח קיים | בדרך כלל לא לתת. אם חייבים, רק עם אישור אנושי |
| כסף ונתונים רגישים | החזרים, חיובים, ייצוא רשימות לקוחות, מידע רפואי או פיננסי | לא לתת לסוכן. הסוכן מכין בקשה, אדם מבצע |
| ניהול מערכת | הוספת משתמשים, שינוי הרשאות, חיבור אינטגרציות | אף פעם לא לסוכן |
למה לא פשוט לתת גישה מלאה ולסמוך על ההנחיות
הטעות הנפוצה היא לחבר את הסוכן עם משתמש מנהל ולכתוב בהנחיות "אל תמחק כלום". זו לא אבטחה. מודל שפה לא מבצע הוראות בצורה דטרמיניסטית, והוא קורא כל הזמן תוכן שמגיע מבחוץ: הודעות לקוחות, מיילים, מסמכים ודפי אינטרנט. כל אחד מהם יכול להכיל הוראה זדונית, ניסיון שנקרא הזרקת פרומפט (Prompt Injection). OWASP ממליצה במפורש לאכוף את ההרשאות במערכות עצמן (ה-CRM, היומן, מערכת התשלומים) ולא לסמוך על המודל שיחליט מה מותר. בפועל: אם המשתמש של הסוכן לא יכול למחוק, שום הוראה לא תגרום לו למחוק. עד כמה סוכני AI כבר משמשים גם תוקפים אפשר לראות בתחקיר על האקר שהפעיל סוכני AI ופרץ ליותר מ-100 אתרי חברות.
8 כללי אבטחה מעשיים לסוכני AI בעסק
- משתמש ייעודי לכל סוכן – לא החשבון של בעל העסק ולא חשבון מנהל. ככה אפשר להגביל, לעקוב ולבטל בלחיצה.
- מפתחות API מוגבלים – כשהמערכת מאפשרת, יוצרים מפתח עם הרשאות מצומצמות, ושומרים אותו בכספת סודות ולא בתוך ההנחיות.
- כלים צרים במקום כלים פתוחים – פעולה בשם "קבע תור" עדיפה על גישה כללית ל-API של היומן. בשום מקרה לא נותנים לסוכן להריץ פקודות או קוד חופשי במערכות הייצור.
- פעולה בהקשר של הלקוח – סוכן שירות שולף מידע רק על הלקוח שזוהה בשיחה, ולא יכול לחפש לקוחות אחרים.
- אישור אנושי לפעולות בעלות השפעה גבוהה – כסף, מחיקה, הודעות המוניות ושינויי מחיר.
- תיעוד, ניטור והגבלת קצב – כל פעולה נרשמת, ויש תקרה לכמות הפעולות בשעה. לפי OWASP זה לא מונע תקלה, אבל מגביל את הנזק ומאפשר לזהות אותה מהר.
- סביבת בדיקות – בודקים סוכן חדש על נתוני דמה, כולל ניסיונות מכוונים לגרום לו לחרוג מהתפקיד, לפני שמחברים אותו לנתונים אמיתיים.
- ביקורת תקופתית – פעם ברבעון בודקים אילו הרשאות לא היו בשימוש ומבטלים אותן, ומשביתים סוכנים שכבר לא פעילים.
דוגמאות להמחשה: איך זה נראה בפועל
הדוגמאות הבאות להמחשה בלבד ואינן מתארות לקוח מסוים.
- סוכן לידים בוואטסאפ: יכול ליצור ליד ב-CRM, להוסיף הערה ולקבוע שיחה ביומן של איש המכירות. לא יכול לראות לידים אחרים, למחוק או לייצא. החיבור בין וואטסאפ ל-CRM מוסבר במדריך CRM עם וואטסאפ לעסקים.
- סוכן קולי במרפאה: רואה זמינות ביומן ויכול לקבוע או להזיז תור. לא ניגש לתיק הרפואי, ובשאלה רפואית הוא מעביר לצוות. על הצד הקולי תוכלו לקרוא במדריך סוכן AI קולי למענה טלפוני.
- סוכן שירות בחנות אונליין: שולף סטטוס הזמנה לפי מספר טלפון מאומת ופותח בקשת החזרה. את ההחזר הכספי עצמו מאשר אדם.
צ'קליסט קצר לפני שהסוכן עולה לאוויר
- יש רשימה כתובה של הפעולות שהסוכן מורשה לבצע, וכל השאר חסום במערכות עצמן.
- הסוכן מחובר עם משתמש ייעודי ולא עם חשבון מנהל.
- פעולות כספיות, מחיקות והודעות המוניות דורשות אישור אנושי.
- כל פעולה של הסוכן מתועדת, ויש מי שמסתכל על התיעוד לפחות פעם בשבוע בתחילת הדרך.
- בדקתם את הסוכן מול ניסיונות מכוונים לגרום לו לחרוג מהתפקיד.
- ברור איפה הספק שומר שיחות ונתונים, לכמה זמן, ואם הם משמשים לאימון מודלים.
- יש דרך מהירה להשבית את הסוכן אם משהו משתבש.
פרטיות ורגולציה בישראל
כשסוכן ניגש למידע אישי של לקוחות, הוא חלק ממאגרי המידע של העסק. תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025 והחמיר את חובות האבטחה, המיפוי והאכיפה. באפריל 2025 פרסמה הרשות להגנת הפרטיות טיוטת הנחיה על תחולת החוק על מערכות בינה מלאכותית. בין הנקודות שעלו בה: צורך בבסיס חוקי לעיבוד המידע, יידוע הלקוח שהוא משוחח עם בוט כשזה מהותי להסכמה שלו, תסקיר השפעה על הפרטיות לפני הטמעה, מדיניות שימוש ב-AI בארגון שמגדירה בקרת גישה וכלים מאושרים, וטיפול בהסכמים עם ספקי AI חיצוניים. תכנון הרשאות נכון הוא חלק מרכזי בעמידה בדרישות האלה. זה מידע כללי ולא ייעוץ משפטי.
הגדרת ההרשאות היא חלק מובנה בכל פרויקט הקמת סוכני AI לעסקים שאנחנו מבצעים. לשאלות עלות והיקף, ראו את המדריך כמה עולה סוכן AI לעסק בישראל.
שאלות נפוצות
מה זה "עיקרון ההרשאה המינימלית" בסוכני AI?
זה כלל שלפיו סוכן מקבל רק את הגישה והפעולות שהוא חייב כדי לבצע את המשימה שלו, ולא יותר. סוכן שקובע תורים צריך לראות ולעדכן את היומן, אבל לא צריך גישה לחשבוניות או לרשימת כל הלקוחות. כך, גם אם הסוכן טועה או מותקף, הנזק האפשרי מוגבל.
האם מותר לתת לסוכן AI גישה ל-CRM?
כן, וזה אחד השימושים הנפוצים. חשוב לחבר אותו דרך משתמש או מפתח API ייעודי עם הרשאות מוגבלות: למשל יצירת לידים ועדכון סטטוס, בלי מחיקה, בלי ייצוא רשימות ובלי גישה לשדות רגישים שהוא לא צריך.
מה זו הזרקת פרומפט ולמה היא מסוכנת לסוכנים?
הזרקת פרומפט היא ניסיון להכניס לסוכן הוראות זדוניות דרך התוכן שהוא קורא, כמו הודעת לקוח, מייל או עמוד אינטרנט. אצל צ'אטבוט שרק עונה הנזק מוגבל, אבל סוכן עם הרשאות עלול לבצע פעולה אמיתית בעקבות ההוראה. לכן לא מסתמכים על המודל שיחליט מה מותר: מגבילים את ההרשאות במערכות עצמן.
אילו פעולות צריכות אישור אנושי?
כל פעולה שקשה או אי אפשר לבטל: החזר כספי, מחיקת נתונים, שליחת הודעה להרבה לקוחות, שינוי מחיר, ייצוא מידע או שינוי הרשאות. הסוכן יכול להכין את הפעולה ולהציג אותה, ואדם מאשר בלחיצה.
האם חוק הגנת הפרטיות חל על סוכני AI?
כן, כשהסוכן מעבד מידע אישי. תיקון 13 נכנס לתוקף באוגוסט 2025, והרשות להגנת הפרטיות פרסמה באפריל 2025 טיוטת הנחיה שמסבירה איך החוק חל על מערכות בינה מלאכותית, כולל יידוע, אבטחה ומדיניות שימוש. מומלץ להתייעץ עם עורך דין שמתמחה בפרטיות.
כל כמה זמן כדאי לבדוק את ההרשאות של הסוכנים?
לפחות פעם ברבעון, ובכל פעם שמוסיפים לסוכן כלי או משימה חדשה. בודקים אילו הרשאות לא היו בשימוש, מבטלים אותן, ומשביתים סוכנים שכבר לא פעילים.
מקורות
- OWASP – LLM06:2025 Excessive Agency
- HUMAN Security – OWASP Top 10 for Agentic Applications
- שיבולת – טיוטת הנחיית הרשות להגנת הפרטיות בעניין מערכות בינה מלאכותית
- איגוד לשכות המסחר – תיקון 13 לחוק הגנת הפרטיות
רוצים סוכן AI שעובד בבטחה בתוך המערכות שלכם?
ב-Digitalix אנחנו מקימים סוכני AI שמחוברים ל-CRM, ליומן ולוואטסאפ עם הרשאות מינימליות, אישור אנושי לפעולות רגישות ותיעוד מלא. השאירו פרטים לקבלת הצעת מחיר ונמפה יחד מה הסוכן שלכם צריך לראות ולעשות, ומה לא.
