בחירת כלי אבטחה לסוכני AI מתחילה בהגדרת פעולה עסקית שצריך להגן עליה, ובדרישה לראות איך ההגנה פועלת בסביבה שלכם. שם מוצר, רשימת תכונות או הדגמה על תרחיש שהספק בחר אינם מספיקים כדי לדעת מה יקרה כשסוכן יקרא מסמך בעייתי, יקבל הרשאה רחבה מדי או יבצע פעולה לא רצויה.
השאלות הבאות נועדו לפגישת ספק ולפיילוט מוגבל. הן נשענות על עקרונות ההרשאה, האישור, הבדיקות והתיעוד בהנחיות OWASP, ועל מסגרת ניהול הסיכונים של NIST. אלו מקורות להערכת סיכון, לא הסמכה שמוצר מסוים בטוח. המטרה היא לקבל תשובות שאפשר לבדוק ולתעד, ולהשוות בין ספקים על אותה משימה עסקית.
1. מה בדיוק כלול בהגנה
האם הכלי בודק את המודל לפני הפריסה, מנטר סוכן שכבר עובד, אוכף הרשאות או משלב כמה מהתפקידים האלה? אילו מודלים, מסגרות פיתוח, שרתי MCP, דפדפנים וסביבות ענן נתמכים בפועל? האם ניתן לקבל מפת כיסוי שמתאימה לארכיטקטורה שלכם, עם כל נתיב שאינו עובר דרך הכלי ועם רשימת החרגות מפורשת?
האם הבדיקה כוללת רק את הטקסט שהמשתמש והמודל מחליפים, או גם קריאות לכלים, זיכרון, אישורי גישה ופעולות במערכת חיצונית? מי אחראי לחיבור שאינו נתמך? האם כל יכולת שמופיעה בהצעה זמינה היום, נמצאת בתצוגה מקדימה או רק מתוכננת, והאם הספק מוכן לציין את המצב הזה בכתב לצד כל רכיב?
איזו פעולה עסקית אחת תוכלו לבחור לפיילוט כך שתעבור בכל המסלול, מהרשאת המשתמש ועד לשינוי במערכת היעד, ותחשוף גם את המקומות שבהם ההגנה אינה פועלת?
2. האם אפשר לשחזר מה הסוכן עשה
האם הכלי יכול להראות מי ביקש את המשימה, איזה סוכן ביצע אותה, לאיזה כלי פנה, באילו פרמטרים ומה השתנה בעקבות הפעולה? האם ניתן לקשור פעולה של סוכן משנה לבקשה המקורית? האם התיעוד מבחין בין פעולה שנצפתה, הסבר שהסוכן ניסח והערכה של מערכת הניטור לגבי משמעות האירוע?
האם אפשר לייצא רצף מלא של משימת בדיקה, כולל פעולות שנכשלו או נחסמו, ולקרוא אותו בלי להחזיק ברישיון נוסף? איך מסומנים פערים בתיעוד, ומי מקבל התראה אם חלק מהאירועים אינם מגיעים? האם נציג העסק יוכל להבין מה קרה מתוך הייצוא, או שהספק חייב לפרש עבורו כל אירוע?
3. איך בודקים לפני העלייה לאוויר
האם הבדיקות משתמשות בכלים, בהרשאות ובגבולות המידע של העסק שלכם, או רק בהנחיות כלליות למודל? האם הן כוללות ניסיונות להזרקת הוראות דרך מסמכים חיצוניים, דליפת מידע ופעולות שאסור לסוכן לבצע? האם נבדקים גם זיכרון, האצלת משימות ועקיפת אישור, בלי להשתמש במידע רגיש אמיתי לצורך ההדגמה?
האם כל ממצא מגיע עם תרחיש שניתן לשחזר, גרסת המערכת, התוצאה הצפויה והתוצאה שהתקבלה? מי בודק שוב אחרי תיקון או החלפת מודל? האם מריצים לצד בדיקות התקיפה גם משימות תקינות, כדי לראות שהמוצר אינו חוסם עבודה נחוצה, והאם אפשר לשמור רשימה מוסכמת של בעיות שלא נפתרו?
4. מה קורה בזמן אירוע אמיתי
כאשר סוכן חורג מההתנהגות הרצויה, האם הכלי רק מתריע, חוסם קריאה לכלי, מבטל הרשאה, מבודד סביבת הרצה או מפסיק את התהליך כולו? כמה זמן עובר בין האירוע לבין כל אחת מהפעולות האלה בפיילוט שלכם? מי מקבל את ההתראה, באיזה ערוץ, ומי מוסמך להחליט שהפעילות יכולה לחזור?
מה קורה למשימות שכבר נמצאות בתור ולפעולות שכבר אושרו? אם שירות האבטחה אינו זמין, האם הביצוע ממשיך או נעצר? האם תוכלו לערוך תרגיל מבוקר שמתחיל בזיהוי, ממשיך בעצירה ובביטול גישה ומסתיים בשחזור ראיות ובהתאוששות, במקום להסתפק בהדגמה של התראה בלוח בקרה?
5. איך מגבילים הרשאות ואת היקף הנזק
האם ניתן להפריד קריאה מכתיבה ולהגביל פעולה לפי משתמש, משאב, יעד וזמן? האם גבול ההרשאה נאכף במערכת שמבצעת את הפעולה, או רק בהוראה מילולית שהמודל אמור לציית לה? האם סוכן משנה יכול לקבל יותר סמכויות מהסוכן שהפעיל אותו, ומה מונע שימוש בהרשאה של משתמש אחד עבור משימה של אחר?
האם אפשר לקבוע תקרות להוצאה כספית, למספר רשומות שמשתנות, לניסיונות חוזרים ולשרשרת קריאות לכלים? מה בדיוק מכסה סביבת הבידוד ומה נשאר מחוץ לה? האם הספק יכול להדגים שהמערכת חוסמת פעולה שחורגת מהגבול גם כשהסוכן מבקש לבצע אותה בביטחון ומציג אותה כשלב הכרחי להשלמת המשימה?
6. מתי נדרש אדם, ומה בדיוק הוא מאשר
אילו פעולות מחייבות אישור, מי רשאי לתת אותו והאם הארגון יכול לשנות את הגבול הזה? האם המאשר רואה את היעד, הסכום, הפרמטרים והשינוי המדויק, או רק תקציר שהסוכן ניסח? האם האישור קשור לאותה פעולה ולזהות המבצע, והאם כל שינוי לאחר האישור מחייב בקשה חדשה?
האם אישור פג תוקף, מועתק או משומש יכול לעבור שוב? האם הסוכן יכול לאשר לעצמו פעולה, והאם כמה ריצות מקבילות יכולות לנצל אותו אישור? מה קורה כשמערכת האישור אינה זמינה? האם הספק מוכן להדגים דחייה של אישור ששונה או הושמע מחדש, ולתעד את הדחייה ביומן האירועים?
7. איזו ראיה תישאר אחרי התקלה
האם נשמרים הזמן, זהות המשתמש והסוכן, גרסת המדיניות, ההחלטה, האישור והתוצאה? האם הסוכן או מפעיל רגיל יכולים לשנות את התיעוד בלי שהשינוי יתגלה? היכן נשמרים היומנים, למי יש גישה אליהם ולכמה זמן? האם אפשר להתאים את השמירה והמחיקה לצורך העסקי בלי לפגוע בחקירת אירוע פתוח?
אילו סודות ופרטים אישיים מושחרים, והאם ההשחרה מסתירה גם מידע שדרוש להבנת האירוע? האם אפשר להעביר תיעוד למערכת ניהול אירועי האבטחה הקיימת, SIEM, ולייצא אותו בפורמט שימושי? האם פיילוט יכול להסתיים בחבילת ראיות שאדם אחר בארגון מסוגל להבין בלי לשחזר את כל השיחה עם הסוכן?
8. כמה עבודה דורשת ההטמעה
אילו שינויים בקוד, רכיבי תוכנה, שרתי תיווך או הרשאות ניהול צריך להוסיף? האם המוצר משתלב במערכת הזהויות, בהרשאות ובכלי האבטחה שכבר קיימים, או מחייב להחליף אותם? מי מתקין, מי מתחזק ומי אחראי כששינוי במודל, במסגרת הפיתוח או בשרת MCP שובר את החיבור לאחר שהפיילוט הסתיים?
איזה עיכוב נוסף נוצר במשימה אמיתית, ומה קורה אם אחד הרכיבים אינו זמין? האם תוכלו למדוד את ההשפעה על זמן הביצוע, שיעור הכשל והעבודה הידנית באותה סביבת בדיקה? האם הצעת המחיר כוללת סיוע בהטמעה, התאמות ועדכוני תאימות, או שמדובר בפרויקטים נפרדים שיש לתמחר מראש?
9. מהי העלות הכוללת, ואיך יוצאים מהחוזה
האם החיוב מבוסס על משתמשים, סוכנים, אירועים, בדיקות, קריאות למודל או נפח נתונים? אילו עלויות נוספות יש לאחסון, לשמירה ממושכת, לתמיכה ולבדיקה אנושית? האם תוכלו לקבל הצעה המבוססת על היקף השימוש הצפוי שלכם, עם הנחות גלויות ותרחיש עומס גבוה, במקום להסתמך על מחיר כניסה בודד?
כמה זמן עבודה פנימי יידרש לכוונון, לטיפול בהתראות ולתחזוקת הכללים? האם יש מגבלות תקציב והתראות לפני חריגה? בסיום ההתקשרות, האם אפשר לייצא כללים ותיעוד, לבטל הרשאות ולמחוק עותקי מידע אצל הספק? מי מבצע את הפעולות האלה, כמה הן עולות ואיך מקבלים אישור שהושלמו?
10. איך הופכים את הפיילוט להחלטת רכש
האם כל הספקים נבחנים על אותה משימה, אותם נתונים מדומים ואותם גבולות הרשאה? האם צוות העסק, הפיתוח והאבטחה הסכימו מראש מה חייב להיחסם, מה חייב להמשיך לעבוד ואילו ראיות נדרשות? האם הבדיקות כוללות את שפות העבודה האמיתיות, לרבות עברית, ערבית, ספרדית, הינדי או אנגלית כאשר הן רלוונטיות?
האם נרשמו בנפרד יכולות שהודגמו, יכולות שלא נבדקו והבטחות לעתיד? מי מקבל את הסיכון שנותר, ומתי תיערך בדיקה חוזרת לאחר שינוי מהותי? האם ההחלטה הסופית יכולה להסביר מה הכלי מוסיף לבקרת הגישה ולתהליך התגובה הקיימים, בלי לטעון שמעבר מוצלח של הפיילוט מבטיח הגנה מכל תקלה או תקיפה עתידית?