זה התחיל כמו אחד מסיפורי היעילות המבטיחים של עידן הבינה המלאכותית, אבל עם סוף רע שכמעט היה ידוע מראש. יונתן אוריך, מיועציו הקרובים של ראש הממשלה, ביקש ליצור מערכת שתעקוב אחר התקשורת ותזהה בזמן אמת ידיעות על בנימין ושרה נתניהו.
לפי הפרסומים, הוא נעזר בתוכנת קלוד כדי לבנות כלי שסורק עשרות מקורות חדשותיים ושולח התרעות לקבוצות ווטסאפ ייעודיות. משימה שבעבר הייתה דורשת אפיון, צוות פיתוח, תקציב ולוח זמנים הפכה כיום לשיחה פשוטה עם מערכת בינה מלאכותית.
אוריך העלה את התוכנה לגיטהאב. מדובר במעין ספרייה עירונית ענקית וציבורית, שבה מתכנתים מכל העולם משתפים את הקוד שהם כותבים.
אם המפתח מעלה את הקוד שלו לספרייה הציבורית ושוכח למחוק ממנו את המפתחות (פרטי הגישה), כל אדם בעולם שמעיין בקוד יכול פשוט לקחת את המפתח, להיכנס בדלת הראשית ולראות את כל מה שקורה בפנים
כשמישהו בונה מערכת בענן שמתממשקת, למשל, עם קבוצות ווטסאפ, היא זקוקה לסיסמאות גישה או למפתחות דיגיטליים כדי לפעול. אם המפתח מעלה את הקוד שלו לספרייה הציבורית ושוכח למחוק ממנו את המפתחות (פרטי הגישה), כל אדם בעולם שמעיין בקוד יכול פשוט לקחת את המפתח, להיכנס בדלת הראשית ולראות את כל מה שקורה בפנים.
כך, על פי הפרסומים, השאיר גם אוריך פרטי גישה ומזהים הקשורים לקבוצות הווטסאפ. במקביל, החשבון הפרטי של אוריך חובר גם לשירות חיצוני שפעל מדובאי וקיבל גישה בלתי מוצפנת לתכתובות שעברו בחשבונו. כשבועיים לאחר חשיפת הכשל הופצו ברשת שיחות ווטסאפ שיוחסו לאוריך.
אין כיום הוכחה לכך שפרטי הגישה שנחשפו הם שהובילו לפרסום השיחות, וגם מהימנות החומר שהופץ לא אומתה במלואה. אבל דווקא היעדר הוודאות מספר את הסיפור הגדול. מרגע שאדם מחבר חשבון אישי לשירות חיצוני, מטמיע פרטי גישה בקוד ומעלה אותו למאגר גלוי, נוצרים נתיבים אפשריים רבים כל כך אל המידע, עד שלעיתים קשה אפילו לשחזר מאיזו דלת נכנס הפורץ.
בין אם האירוע הספציפי הזה יתברר ככשל אבטחתי תמים ובין אם כמשהו מורכב יותר, הוא מציף את הצד הפחות סימפטי של "דמוקרטיזציה של הקוד".
עד לפני כמה שנים כדי לבנות אפליקציה, ליצור אוטומציה או לחבר בין שרתים, נדרשו שנים של לימודים, הבנה עמוקה בארכיטקטורה וצוות שלם של מהנדסי אבטחה.
עצם העובדה שתוכנה עובדת אינה אומרת שהיא מאובטחת. כתיבת הפיצ'ר שגורם לכפתור לבצע את הפעולה המבוקשת היא רק חלק מתהליך הפיתוח
אולם כיום, הודות למחוללי הבינה המלאכותית, המחסום הזה קרס כמעט לחלוטין, במיוחד כשמדובר במערכות פשוטות יחסית. כל מה שצריך הוא לפתוח צ'אט, לכתוב הוראה פשוטה בעברית או באנגלית, ותוך זמן קצר מתקבלת תוכנה. עוד כמה סבבי תיקונים ושיפורים קלים, והתוכנה אפילו תעבוד היטב.
התהליך הזה קיבל את הכינוי "וייב קודינג" – כלומר, תכנות לפי הזרימה. בתהליך הזה, מי שאינו מבין בקוד גם לא יבין בהכרח איך התוכנה עובדת, אבל בשורה התחתונה הוא יידע שהיא עובדת. זה מרגיש כמו קסם, ומעניק תחושת "היי" של כוח ופרודוקטיביות לעשרות מיליוני אנשים בעולם, שלפתע הפכו ל"הייטקיסטים" אף שמעולם לא נגעו בקוד בחייהם.
אבל כאן בדיוק טמונה המלכודת. עצם העובדה שתוכנה עובדת אינה אומרת שהיא מאובטחת. כתיבת הפיצ'ר שגורם לכפתור לבצע את הפעולה המבוקשת היא רק חלק מתהליך הפיתוח. זמן רב נוסף מוקדש לבדיקות, לטיפול בתקלות, לניהול הרשאות, להגנה על מידע ולתחזוקה שוטפת.
כאשר אדם ללא רקע מקצועי בהייטק – יועץ תקשורת, מנהל שיווק או יזם חובב – מפיק קוד באמצעות פרומפט לכלי בינה מלאכותית, הוא עלול להסתפק בכך שהכפתור עובד ולהמשיך הלאה. הוא לא בהכרח מכיר את תחום "ניהול הסודות", כלומר, את האופן שבו שומרים סיסמאות, אסימונים ומפתחות API מחוץ לקוד ומגבילים את ההרשאות שלהם.
הוא גם עלול לא לדעת שפרטי הגישה שהוטמעו בקוד והועלו למאגר ציבורי עשויים להתגלות כמעט מייד. מאגרי קוד ציבוריים מנוטרים באופן רציף באמצעות מערכות אוטומטיות – חלקן מערכות הגנה, ואחרות מופעלות בידי גורמים המחפשים מפתחות שנחשפו.
מאגרי קוד ציבוריים מנוטרים באופן רציף באמצעות מערכות אוטומטיות – חלקן מערכות הגנה, ואחרות מופעלות בידי גורמים המחפשים מפתחות שנחשפו
גיטהאב עצמה מזהירה שסודות דיגיטליים שנחשפים עלולים להיות מנוצלים בתוך שניות. ב־2024 בלבד איתרה החברה יותר מ־39 מיליון סודות שדלפו בפלטפורמה. וזה עוד לפני שהקידוד הפך לנגיש בכל בית.
אנחנו צועדים במהירות לעולם שבו יצירת תוכנה או אפליקציה באמצעות פרומפט תהיה מיומנות בסיסית, בדיוק כמו כתיבת אימייל או ניהול טבלת אקסל. אלא שבעוד שטעות באקסל עשויה להסתכם במספר שגוי במצגת, טעות בקוד עלולה לחשוף מידע פרטי שלכם לרשת העולמית, ללא כל הגנה.
סביר להניח שחברות ה־AI ייתנו לכך מענה בעתיד. למשל, באמצעות מניעת פרסום של פרטי גישה רגישים כברירת מחדל, התרעה כשחשבון אישי מחובר לשירות צד שלישי, או הגבלת הרשאות ודרישת בדיקה נוספת במערכות שמטפלות במידע רגיש. בסופו של דבר, בעולם שבו המשתמש לא אמור להבין בקוד, אי אפשר להטיל עליו לבדו את האחריות לזהות כל חולשה שהקוד יצר.
גם כשהחשמל נכנס לכל בית, החברה לא דרשה מכל אזרח להפוך לחשמלאי. היא המציאה תקנים, מפסקים, הארקה ושקעים שקשה לחבר בצורה מסוכנת. פיתוח התוכנה עובר כעת תהליך דומה – הוא חדל להיות נחלתם של מעטים, והקוד הופך לחומר גלם שכל אחד יכול לעצב.
לכן, המבחן של המהפכה הזאת לא יהיה כמה אנשים הצליחו לבנות אפליקציה, אלא כמה מהם יוכלו להשתמש בה בבטחה, גם בלי להיות מומחי סייבר
לכן, המבחן של המהפכה הזאת לא יהיה כמה אנשים הצליחו לבנות אפליקציה, אלא כמה מהם יוכלו להשתמש בה בבטחה, גם בלי להיות מומחי סייבר.
עד אז, העיקרון צריך להיות פשוט: אדם שאינו מגיע מהתחום, במיוחד אם הוא יועץ בלשכת ראש הממשלה, צריך להתייחס לתוכנה שיצר באמצעות בינה מלאכותית כאל מעין צעצוע אישי, שלו בלבד. ברגע שמערכת נוגעת במידע הקשור לאנשים אחרים, בכסף, בבריאות, בביטחון או בתשתיות ציבוריות, היא מפסיקה להיות ניסוי פרטי ומחייבת מעורבות של אנשי מקצוע.
תגובות עכשיו הזמן לומר את דעתך
תגובתך פורסמה! שתפו את עמוד הפרופיל שלכם
ועכשיו אנו זקוקים לתמיכה שלך עזרו לנו להמשיך ליצור עיתונות אמינה, מקצועית וליברלית
תמכו בנו