סיכוני האבטחה החמורים של דפדפני AI: מה באמת משתנה

כך עולה מהדיווח שפורסם בTechCrunch על ידי מקסוול זף. הדפדפנים החדשים ChatGPT Atlas של OpenAI ו-Comet של Perplexity מציגים "סוכן גלישה" שמבצע פעולות עבור המשתמש: כניסה לאתרים, מילוי טפסים, סיכום דפים ועוד. אלא שהרחבת ההרשאות לאימייל, יומן ואנשי קשר יוצרת משטח תקיפה רחב במיוחד, ובעיקר חושפת את המשתמשים למתקפות Prompt Injection עקיפות דרך תוכן עוין בדפי אינטרנט.

Brave פרסמה מחקר המתאר את התופעה כ"אתגר מערכתי" לכל הדפדפנים המונעי-סוכן, ומציינת שגם איתור טקסטים נסתרים כבר אינו מספיק: תוקפים מטמיעים הוראות גם בתוך תמונות ומבני נתונים לא-טקסטואליים. הנהלת האבטחה של OpenAI מודה כי מדובר בבעיה שלא נפתרה, ו-Perplexity כותבת כי יש "לחשוב מחדש על האבטחה מהיסוד". בפועל, OpenAI משיקה "Logged-out mode" שמצמצם גישה לחשבונות בזמן שהסוכן פועל, ו-Perplexity מדברת על מנוע זיהוי בזמן אמת. אלו צעדים חשובים, אך לא חיסון מוחלט.

לצד הווידוי הכנה מצד הספקיות, המומחים מצביעים על חולשה בסיסית: מודלים לשוניים מתקשים להפריד בין הוראות לוגיקה פנימית לבין נתוני קלט חיצוניים. התוצאה היא "משחק חתול ועכבר" מתמשך בין תוקפים למגינים. בתוך ההקשר התחרותי, יש לציין כי גם מיקרוסופט דוחפת קדימה דפדפן AI דומה, מה שמאותת שהמאבק על "שער הכניסה" לאינטרנט רק התחמם.

מעבר לדגשים שבכתבה המקורית, חשוב להכיר את ההנחיות והסטנדרטים המתפתחים:

• OWASP Top 10 for LLM Applications מזהה Prompt Injection כאיום מוביל ומדגיש גם Insecure Output Handling. ארגונים צריכים להתייחס לסוכן גלישה כאל רכיב בעל הרשאות מסוכנות, עם סנדבוקסינג, בדיקות תוכן והפרדת יכולות (capability-based permissions).
• מסגרת NIST AI RMF ממליצה על ניהול סיכונים מחזורי: מיפוי נכסים רגישים, הערכת השפעה, ניטור רציף ותגובות לאנומליות.

מה כדאי לעשות עכשיו למשתמשים וארגונים:

• לצרכנים: להפעיל אימות דו-שלבי ולקבוע סיסמאות ייחודיות לחשבון הדפדפן/הסוכן; להגביל הרשאות לאימיילים וחשבונות בנק; להעדיף הפעלה במצב Logged-out כשהמשימה מאפשרת; ולהימנע מהזנת מסמכים רגישים לסוכן ללא צורך.
• לארגונים: להגדיר Allowlist דומיינים לסוכן, למנוע מילוי טפסים אוטומטי באתרים לא-מאושרים, לדרוש Human-in-the-loop לפני פעולות עסקיות, ולהשתמש בפרוקסים שמבצעים סריקת תוכן ודה-סניטיזציה לפני שהסוכן "רואה" את הדף. בנוסף, יש להחיל ניטור לאנומליות על פעולות הסוכן ולהגביל Cookie/Session Sharing לסביבות בדלניות.

הקשר הישראלי: ארגונים הכפופים לתקנות הגנת הפרטיות בישראל (אבטחת מידע), ובפרט בנקאות, בריאות ומגזר ציבורי, יצטרכו לבחון האם הענקת הרשאות לסוכני גלישה עומדת בעקרון המידתיות והצמצום לעניין. תחום הדפדפנים הארגוניים, שבו פעלו חברות ישראליות כמו Talon (שנרכשה בידי Palo Alto Networks) ו-Island (עם מייסד ישראלי), צפוי לשלב בקרות ייעודיות לסוכני AI: הרשאות דקיקות לפי משימה, הקשחת מדיניות מילוי טפסים, ואכיפת הקלט/פלט. עבור משתמשים פרטיים, לא ברור מתי ומידת התמיכה בעברית בדפדפני AI תהיה בשלה מספיק, ולכן מומלץ להתחיל במשימות לא-רגישות ובסביבות מבודלות.

בשורה התחתונה: סוכני גלישה מציעים קיצור דרך לעבודה דיגיטלית, אך עד שלא יופיעו מנגנוני בקרה חזקים יותר ברמת הדפדפן, המודל והמערכת, נדרש טיפול זהיר בהרשאות, הפרדה קפדנית בין נתונים פרטיים לבין משימות הסוכן, והבנה שהנוחות מגיעה עם תג מחיר אבטחתי ממשי.