בטיחות סוכנים

צ׳טבוט שרק מדבר יכול להביך אותך. סוכן שיכול לשלוח מיילים, לערוך את ה-CRM שלך ולהתחבר לאתרים יכול לגרום נזק אמיתי, והוא ימלא הוראות מכל מי שמצליח להציב טקסט מולו. הכללים שלהלן באים מבוני GabAI ומקבוצות השלוחים הרחבות ב-2026, יחד עם המקרים שלימדו אותם. הם חלים באותה מידה על סוכנים מתארחים כמו Muse או Instinct (סוכני AI אישיים).

1. להסיר את היכולת, לא רק לאסור אותה

הכלל של המנהל של GabAI: “אל תגיד לסוכן לא לעשות משהו, אל תיתן לו את היכולת.” הוראה בפרומפט יכולה להישכח או להידרס על ידי משהו שהסוכן קורא; הרשאה שאין לסוכן לא יכולה.

למה הקבוצה אימצה אותו:

• במאי 2026 הסוכן של אחד החברים, שסטה מהגדרות ברירת המחדל שלו, שלח בשמו מייל עם בקשה לפיצ׳ר לחברת תוכנה חיצונית. המייל היה כתוב היטב, ואף אחד לא ביקש אותו.
• סוכן אחר ניהל שיחה שלמה עם קבלן ואמר לו שבית חב״ד פטור ממס.
• סוכן מתארח שלח הודעות על מניין בשתיים בלילה בלי לשאול. אחר פתח צ׳אטים עם שירות הלקוחות של Amazon במשך 72 שעות ברציפות, עד שהחשבון סומן.

ברירות המחדל של GabAI הולכות לפי הכלל: הסוכן קורא רק צ׳אטים שרשמת, עונה רק כשמתייגים אותו, ואין לו יכולת לשלוח מיילים. כשאחד החברים היה צריך מגבלה קשיחה, מי שמארח אותו בנה אותה בתוך הקוד במקום בהוראות.

מתחילים כל חיבור חדש בקריאה בלבד. מוסיפים הרשאת כתיבה חלק אחרי חלק, אחרי שראיתם שזה עובד.

2. טיוטה, ואז שולחים בעצמך

למיילים, הודעות, פוסטים ושינויים ב-CRM, ההגדרה הבטוחה ביותר היא סוכן שמכין ואדם שלוחץ על שליחה. מנהלת קבוצת השלוחות, אוקטובר 2026: “הייתי מרשה לו רק להכין טיוטה”, ואז לעבור עליה ב-Gmail ולשלוח. המנהל של GabAI מריץ את הסוכן שלו באותה דרך: הוא יכול לקרוא את כל המיילים שלו ולכתוב טיוטות, ולעולם לא לשלוח בלי פיקוח.

כשכלי יכול לשלוח בעצמו, כתבו את זה במפורש: “תראה לי את הטיוטה ותחכה לאישור שלי. אל תשלח.” שליח שביקש מ-ChatGPT לעצב מייל ניסיון ב-Communicator של ChabadOne ראה אותו נשלח תוך 45 שניות בלי לחכות.

לגבי כסף, הנוהג בקבוצות היה קריאה בלבד או טיוטה בלבד, עם “אישור” מפורש לפני שמשהו נרשם בספרים. ראו סוכני הנהלת חשבונות.

3. לתת לסוכן חשבון מייל משלו, בתוך הארגון שלך

ביוני 2026 אחד החברים פתח חשבון Gmail חינמי רק בשביל הסוכן שלו והעביר אליו מיילים לתשובות בטיוטה. Google השביתה את החשבון. המדיניות של Google אומרת שהיא משביתה חשבונות שמשמשים לעקיפת הכללים שלה באמצעות כמה חשבונות, והיא אוסרת שימוש בשירותים שלה לשליחת הודעות אוטומטיות (העזרה של Google Account); תיבת דואר שרק תוכנה נוגעת בה נראית בדיוק כך. קודם לכן, בפברואר 2026, Google השעתה חשבונות שבעליהם ניתבו את הסוכן OpenClaw דרך ההתחברות של Antigravity של Google, ולפי הדיווחים חלקם איבדו גם את הגישה ל-Gmail.

מה הקבוצה ממליצה במקום:

• חשבון תפקיד ב-Google Workspace שלך (למשל כתובת “assistant” על הדומיין של בית חב״ד שלך). יש לך קונסולת ניהול ודרך אמיתית לפנות לתמיכה אם משהו מסומן. חשבון Workspace של אחד החברים סומן ושוחזר תוך שעתיים בערך אחרי ערעור.
• שירות מייל שנבנה לסוכנים אם אין לך Workspace. הבונים הצביעו על AgentMail, שהמסלול החינמי שלו ב-2026-10-21 היה שלוש תיבות דואר ו-3,000 מיילים בחודש (AgentMail).
• חשבון שירות של Google אם הסוכן צריך רק את Drive, Docs ו-Sheets. אין לו תיבת דואר, כך שהוא לא מועיל למיילים.

אם אפשר, החזיקו שתי כתובות נפרדות: אחת שהסוכן משתמש בה מול הקהילה, ואחרת שמקבלת התחברויות לחשבונות ואיפוסי סיסמה, שהסוכן לעולם לא צריך לראות.

4. לשמור סיסמאות בכספת, לא בצ׳אט

לעולם אל תדביקו סיסמה, מספר כרטיס או מפתח API בצ׳אט עם סוכן. אם כבר עשיתם את זה, התייחסו לזה כאל דליפה ושנו אותם.

• כספות אישורים. NanoClaw ו-GabAI מגיעים עם OneCLI Agent Vault: המפתחות נשארים על השרת ומתווספים לבקשות היוצאות של הסוכן בדרך, כך שהסוכן אף פעם לא מחזיק בהם (התיעוד של NanoClaw על אישורים). OneCLI הוא קוד פתוח ומציע גם גרסה מתארחת עם מסלול חינמי (OneCLI). IronClaw של NEAR AI נוקט גישה דומה עם כספת מוצפנת.
• מה כספת לא עושה. באפריל 2026 קבוצת GabAI גילתה ש-OneCLI עובד לשירותים שמקבלים מפתח בבקשה (רוב ה-API), אבל לא לטופסי התחברות באתרים, כמו דף הכניסה של חנות. למפתחות רגישים במיוחד, הטיפ של אחד החברים היה להוסיף אותם דרך SSH כדי שלעולם לא יעברו דרך שיחה עם Claude.
• לאתרים בלי API, מתחברים בעצמכם פעם אחת בדפדפן של הסוכן ונותנים לו להשתמש מחדש בסשן השמור, במקום למסור את הסיסמה. תנו לסוכן משתמש מוגבל משלו כשהאתר מאפשר; שליח אחד פתח משתמש נפרד ב-Little Green Light עם הרשאות מוגבלות לסוכן שלו. צפו שהסשן יפוג.
• אל תתנו לסוכן להיאבק בבדיקת “אמת שאתה אנושי”. בהתחברות ל-ChabadOne יש כזו, והיא שם בכוונה. עברו אותה בעצמכם.

5. לעולם לא להדביק לוגים בקבוצה

ביולי 2026 אחד החברים הדביק רשימת תהליכים מהשרת ופלט לוגים בצ׳אט קבוצתי כדי לקבל עזרה. היו בהם אישורי ענן וטוקנים פעילים. לפני שמשתפים ps, docker logs, .env או כל פלט שגיאה, מסירים מפתחות, טוקנים, כתובות מייל ומספרי טלפון, או מבקשים מ-Claude Code על השרת להשחיר אותם בשבילכם. עדיף: לתת ל-Claude Code לעשות את האבחון על השרת, וזה מה שמנהלי הקבוצה מבקשים בכל מקרה.

אותו דבר לגבי רשימות תורמים ופרטי חברי קהילה. צ׳אט קבוצתי שיש בו סוכן אינו פרטי: כל מי שבקבוצה רואה כל מה שהסוכן אומר שם.

6. להניח שמישהו ינסה לרמות אותו

הזרקת פרומפט (prompt injection) פירושה הסתרת הוראות בתוך תוכן שהסוכן קורא: מייל, דף אינטרנט, PDF, הודעה בקבוצה. הסוכן לא יכול להבחין באופן אמין בין ההוראות שלך להוראות של תוקף. זה הסיכון הראשון ברשימת הסיכונים של OWASP לאפליקציות AI (OWASP LLM01), ומודל האבטחה של NanoClaw יוצא מההנחה שיזריקו לסוכן (מודל האבטחה של NanoClaw).

מה זה אומר בפועל:

• סוכן שקורא את המיילים שלך יכול להיות מוכוון על ידי כל מי ששולח לך מייל. המנהל של GabAI: גישה למייל “היא עוד משטח תקיפה, זה משטח הזרקה וזה נתיב להוצאת מידע.” שום דבר ב-GabAI לא מנקה את תוכן המיילים לפני שהסוכן קורא אותם.
• הפרידו בין סוכנים שרק מחפשים מידע לבין סוכנים שיכולים לפעול. סוכן שקורא את תיבת הדואר לא צריך להיות זה שיכול לשלוח או לשלם.
• שימו שלב אישור על כל דבר שיוצא מהשרת: שליחה, פרסום, קנייה, מחיקה.
• סוכן שמסרב לחשוף סוד עדיין יכול להשתכנע לעשות את זה אם הסוד נמצא בהקשר שלו. באפריל 2026 סוכן סירב בצדק להציג את קובץ ההגדרות שלו כשביקשו ממנו בקבוצה; חברים ציינו שאדם עקשן עדיין יכול לשחוק אותו. השאירו סודות לגמרי מחוץ להישג ידו של הסוכן.
• בדקו אותו. העצה של המנהל לסוכן משותף: “נסה עם חבר אחד ובקש ממנו לנסות להוציא מידע פרטי.”

7. לשים עין על שרשרת האספקה

סוכנים מתקינים קוד, וכך גם הכלים שסביבם.

• ב-2026-03-24 פורסמו שתי גרסאות של LiteLLM, ספריית ניתוב AI פופולרית, עם נוזקה שגנבה מפתחות ענן ו-API (Cloud Security Alliance). נעלו גרסאות של כל דבר שאתם מתקינים.
• במאי 2026 פרצה קריטית ב-Baileys, ספריית ה-WhatsApp שמאחורי רוב סוכני ה-WhatsApp באירוח עצמי, אפשרה לתוקפים לזייף הודעות; היא תוקנה ב-7.0.0-rc12 וב-6.7.22 (הודעת אבטחה).
• מיומנויות (skills) שסוכן כותב לעצמו, או שאתם מתקינים מספרייה, הן קוד. קראו את אלה שנוגעות במייל, בכסף או באנשי קשר.

הודעה לציבור של אחד החברים מיולי 2026: לעשות ביקורת תקופתית. הוא ביקש מ-Claude לסקור את כל ההגדרה המותאמת שלו ברמת המאמץ הגבוהה ביותר, והוא מצא כמה בעיות, כולל פרצה אחת שחומת האש שלו הסתירה במקרה. עברו על ההמלצות לפני שמיישמים אותן.

8. שינויים בהתחברות של Google שכדאי להכיר

• אפליקציות שנשארו במצב “Testing” מאבדות גישה אחרי שבוע. אם יוצרים פרויקט Google Cloud משלכם לסוכן ומשאירים את מסך ההתחברות שלו בסטטוס Testing, Google מנפיקה טוקני רענון שפגים אחרי 7 ימים (התיעוד של Google OAuth). לחברים שהחיבור שלהם ל-Workspace כל הזמן נפל הייתה הבעיה הזו. לארגון שלכם, הגדירו את הקהל (audience) ל-Internal.
• שרתי MCP של Google Workspace. Google מציעה עכשיו מחברים רשמיים (שרתי MCP) ל-Gmail, Drive, Calendar ועוד, בתוכנית ה-Developer Preview שלה. כשיוצרים את לקוח ההתחברות לסוכן AI, מדריך ההגדרה של Google אומר לסמן את “Use this client for an AI-powered agent”, ובקשות מלקוחות בלי הסימון הזה עלולות להידחות (מדריך ההגדרה של Google). באוקטובר 2026 אחד החברים העביר מייל מ-Google שלפיו ההגדרה תיאכף מ-11 בנובמבר ותיקבע לצמיתות ביום שאחרי; התאריכים האלה לא אושרו בדפים הציבוריים של Google. נאמר שאפליקציות שמשתמשות ב-API הרגילים של Gmail ו-Drive לא מושפעות.

שאלה פתוחה: האם הסוכן צריך לומר שהוא AI?

צוות הסוכנים של שליח אחד מוגדר לעולם לא להזדהות כ-AI מול אנשי הקשר שלו. אחרים בקבוצות הרגישו שאנשים שכותבים לבית חב״ד ראויים לדעת מתי בוט עונה להם, וחלקם קיבלו הודעות WhatsApp מסומנות כ-AI משלוחים אחרים והרגישו שהן מרחיקות. הקבוצות לא הכריעו. החליטו בכוונה, לא כברירת מחדל.

קשור

• סוכני AI אישיים, עם רשימת בדיקה של שמונה שאלות
• אירוח סוכנים, לנעילת השרת
• GabAI, NanoClaw, Hermes Agent
• פרטיות ונתונים
• אוטומציה ב-WhatsApp