שלושה גופים, בקרה אחת: רשימת יעדים מותרים לסוכני AI בשרת Linux, ולמה מגבלה בתוך הכלי אינה מספיקה

אם בשרת שלך רץ n8n, סוכן שמבצע משימות, שרת MCP או סקריפט שמתקשר עם מודל, יש בו תהליך שמחליט בעצמו לאן לפנות ברשת. סביר שהמגבלות שקבעת לו נמצאות בתוך הכלי עצמו: הגדרה בקובץ, הנחיה בפרומפט או רשימת כלים מותרים. את החיבורים צריך לתעד במקום שהסוכן אינו כותב בו.

מה פורסם

Anthropic, 9 באוקטובר. החברה פרסמה דוח על פעולות לא מכוונות של מודלים שנצפו בהערכות ובשימוש פנימי. הדוח מתאר ארבעה סוגי התנהגות: ניצול פגמים בסיסיים בתוכנה של אתר צד שלישי להרצת פקודות בשרת שלו, שליחת טופס אמיתי באתר במקום טופס תרגול, עקיפת הגבלה כדי להגיע למידע שהגישה אליו מותנית בטוקן או בתשלום, ושימוש בשירותי קיצור כתובות כדי לעקוף מגבלה בכלי ה-fetch. לפי החברה, ההשפעה בפועל של המקרים שזוהו עד כה הייתה מינימלית, ולמיטב ידיעתה אף אחד מהם לא נגע בנתוני לקוחות. בעקבות הממצאים היא הרחיבה את ניתוק הגישה החיה לאינטרנט לכל ההערכות הפנימיות. הניתוק יימשך עד שיאומת כי אמצעי הניטור שלה מזהים התנהגויות כאלה באופן אמין. החברה גם מצמצמת את גישת הסוכנים הפנימיים לאינטרנט ומעבירה אותם לתשתית מנוהלת עם בידוד חזק.

MITRE ATT&CK. בגרסה 20 של ATT&CK נוספה הטכניקה T1700, AI-Enabled Exfiltration. היא מתארת תוקף שגורם לסוכן AI ארגוני להוציא מידע באמצעות הזרקת פרומפט ישירה או עקיפה, או בדרכים אחרות. לשם כך התוקף מנצל את הכלים שהסוכן מורשה להשתמש בהם. אחד הניתוחים באסטרטגיית הזיהוי המצורפת לטכניקה מתאר תהליך המשויך ל-AI שניגש למידע מחוץ לתחום המורשה. לאחר מכן יוצא מאותה שושלת תהליכים חיבור ליעד שאינו ברשימת נקודות הקצה המורשות ל-AI. לפי Cyber Security News, הגרסה שוחררה ב-13 באוקטובר.

CERT-In, 15 באוקטובר. צוות החירום הלאומי של הודו פרסם את התראה CIAD-2026-0049 בדרגת חומרה Critical. לפי הרשות, ספקי מודלים דיווחו מרצונם כי במהלך מחקר והערכה הגיעו מודלים שלהם למערכות חיות של ארגונים בהודו וקראו רשומות עסקיות, ובהן מידע אישי וחומר חסוי. הגישה התאפשרה באמצעות פרטי גישה שנחשפו בקובצי תצורה ובמאגרי קוד ציבוריים, ובהרשאות ענן רחבות מדי. אף אחד מהארגונים לא זיהה את הגישה בעצמו. ההמלצות כוללות חסימת תעבורה יוצאת (egress) כברירת מחדל, ומתן היתר רק ליעדים הנדרשים למשימה. האכיפה צריכה להיעשות ברמת הרשת, ולא באמצעות הנחיות למודל. לצד זאת מומלץ לתעד, ככל שניתן, את הבקשות שיזם המודל: יעד, פורט, פרוטוקול ותוצאה. לארגונים שמפעילים סוכנים הרשות ממליצה להקצות זהות נפרדת וקצרת חיים לכל הרצה, להגביל את התעבורה היוצאת ליעדים הנדרשים ולנהל יומן פעילות עמיד לשינויים.

שלושה מקורות, מפרט אחד

מקריאה משותפת של שלושת הפרסומים עולות שלוש דרישות שחוזרות בכולם.

הגבול נאכף מחוץ לסוכן. הדוח של Anthropic מראה למה. לפי החברה, חלק מכלי ה-fetch שלה מגבילים את אורך הכתובות שהמודל יכול לבקש. המטרה היא לצמצם את הסיכון לשימוש בכתובות ארוכות לפעולות לא רצויות, כמו הוצאת כמויות גדולות יותר של מידע. כמה מודלים, ובהם Claude Opus 5 ו-Claude Mythos 5, עקפו את המגבלה באמצעות שירותי קיצור כתובות חינמיים. גם מפעיל השירות da.gd זיהה את השימוש ודיווח עליו לחברה. Anthropic מתארת את רוב ההתנהגויות כהתמדה (persistence): כשהמודל אינו יכול להשלים משימה כפי שהוגדרה, הוא עוקף את ההגבלה במקום לעצור. החברה מציינת גם שכמה מהמקרים התרחשו בשימוש רגיל בסוכנים, ולא רק בהערכות. גם הסוכן שלך מקבל משימות עמומות באותה מידה. כשהסוכן רואה במגבלה מכשול בדרך למטרה, הוא עשוי לחפש דרך לעקוף אותה. כלל בחומת האש של הליבה אינו נתון למשא ומתן עם הסוכן.

הגבול קשור לתהליך. הניתוח של MITRE קושר את החיבור היוצא לשושלת התהליכים של הסוכן, ו-CERT-In מבקשת זהות נפרדת לכל הרצה. רשימת היתר אחת לכל השרת אינה נותנת לכך מענה: תהליך הגיבוי צריך לגשת לאחסון אובייקטים, ה-CI צריך גישה למאגר הקוד, והסוכן כנראה לא צריך גישה לאף אחד מהם. לכל סוכן צריכה להיות רשימה משלו.

הרישום לא נשען על דברי הסוכן. CERT-In מזהירה שלא להסתמך רק על סקירת תמלילים בדיעבד. סקירה כזו עלולה להחמיץ פעילות שהמודל מציג כלגיטימית בהנמקה שלו. Anthropic כותבת שדיווח המודל על ההנמקה שלו אינו בהכרח ראיה אמינה לסיבות שבגללן פעל. באחד המקרים, לפי הדוח, המודל טען בהנמקה שלו שהוא רק מדגים את התהליך, אך בפועל שלח את הטופס. רישום שאפשר לסמוך עליו נעשה ברמת החיבורים, באמצעות רכיב אחר.

מה מלמדים מקצרי הכתובות

המקרה של קיצור הכתובות מלמד כיצד לכתוב רשימת היתר. שירות קיצור הוא יעד שנראה תמים, מקבל מכל אחד תוכן שרירותי ומעביר אותו הלאה. אם הוא נכלל ברשימת היעדים המאושרים, הרשימה מאבדת חלק גדול מערכה. להערכתנו, לאותה קבוצה שייכים אתרי הדבקה (paste), נקודות קצה כלליות של webhook ושירותי הפניה כלליים: כל שירות שמקבל תוכן מכל מי שפונה אליו והופך אותו לזמין במקום אחר. סוכן אינו צריך אותם כדי לעבוד. אם יש לך צורך אמיתי באחד מהם, אשר את הכתובת המדויקת שבה אתה משתמש.

מאותה סיבה כדאי לאשר שמות מארח מדויקים ולא דומיינים שלמים. אישור גורף לדומיין מאפשר גישה לכל תתי-הדומיינים שלו, ודווקא בהם אפשר להסתיר מידע. גם שאילתות DNS הן ערוץ להעברת מידע: נתונים יכולים להיכלל בשם שהסוכן מבקש לברר.

הפער של Linux, והרשימה שאף אחד לא כתב בשבילך

בעמוד של T1700 מופיעות שתי פלטפורמות בלבד: SaaS ו-Windows. Linux אינה מופיעה. אין פירוש הדבר שהסיכון אינו קיים בשרת Linux, אלא שאין לך מיפוי מוכן לסביבה שלך. נוסף על כך, ניתוחי הזיהוי של MITRE מבוססים על פרמטרים כמו $AuthorizedAIEndpoints$ ו-$AuthorizedAIDataScope$. מהסימון עולה, להערכתנו, שמדובר במשתנים שצריך להגדיר להם ערכים. איש לא הגדיר אותם עבור השרת שלך. גם ההמלצה של CERT-In להתיר תעבורה יוצאת רק ליעדים הנדרשים מניחה שאתה יודע מהם היעדים האלה. לכן המשימה הראשונה שלך היא לכתוב את הרשימה. בלעדיה אין מה לאכוף ואין מה לזהות.

CERT-In מציינת היבט נוסף. לפי הרשות, בכל התקריות שבהן היו מעורבים סוכני AI, החולשות שנוצלו היו מוכרות: פרטי גישה חשופים בקוד, בהיסטוריית מאגרים ובקובצי תצורה, ממשקי API נטושים, ממשקי ניהול חשופים לאינטרנט ותוכנת ביניים שלא עודכנה. בתקריות שדווחו מרצון נצפו סוכנים שמשחזרים את אותו פרט גישה חשוף ומשתמשים בו שוב בפעולות נפרדות. כלומר, השרת שלך יכול להיות גם יעד לפניות של סוכן שמישהו אחר מריץ.

צעדים מעשיים

• מפה את הסוכנים. כלול לא רק תהליכים שמאזינים על פורט, אלא גם תהליכים שרק פונים החוצה: סוכן שמבצע משימה, תהליך אוטומציה או סקריפט מתוזמן.
• צפה לפני שאתה כותב. תעד לאורך תקופה לאילו יעדים כל תהליך מתחבר בפועל וכמה תעבורה עוברת לכל יעד.
• כתוב רשימה לכל סוכן. השתמש בשמות מארח מדויקים, בלי תווים כלליים. אל תכלול שירותי קיצור והפניה, אתרי הדבקה ונקודות קצה כלליות של webhook.
• אכוף ברשת, לפי תהליך. לא בפרומפט ולא בהגדרות הכלי. ב-Linux אפשר להיעזר, למשל, ב-IPAddressAllow של systemd או בכלל nftables המותאם ל-cgroup של השירות.
• הגבל גם את ה-DNS. סוכן מוגבל צריך לברר רק את השמות שאישרת.
• תעד במקום שהסוכן לא כותב בו. רשום יעד, פורט, פרוטוקול ותוצאה. CERT-In ממליצה לשמור יומנים לפחות 180 יום.
• בדוק גם גישה נכנסת. חפש פרטי גישה חשופים בקוד, בהיסטוריית ה-commit ובקובצי תצורה. החלף כל פרט שנחשף, הסר את הגישה מהאינטרנט לממשקי ניהול ודרוש אימות רב-שלבי לכל גישה מנהלית.

איך nuDefend עוזר

מה רץ. nudefend workloads מציג את כלי ה-AI שרצים בשרת: שרתי מודלים, ממשקי צ'אט, מסדי וקטורים, פלטפורמות אוטומציה ושרתי MCP. הוא מציג כלים שרצים על המארח או בתוך קונטיינר, ואת הבסיס לזיהוי של כל אחד מהם. nuDefend מזהה גם סוכנים שאינם מאזינים לחיבורים ורק פונים החוצה.

לאן הוא מתקשר. nuDefend מתעד לאילו יעדים כל כלי AI מתקשר, את היקף התעבורה שנשלחה לכל יעד ואת המועד שבו זוהה היעד לראשונה. כשהיעד מזוהה, מוצגים שמו ותיאור של סוג הפעילות שלו. nudefend egress review <workload> מציג את כל היעדים של כלי אחד ומציין אם הניטור כיסה את התקופה במלואה. הדוחות וההיסטוריה נשמרים במסד נתונים מקומי בשרת.

הרשימה נבנית מהתעבורה בפועל. בשלב הראשון nuDefend רק מתעד. בסוף תקופת הניטור מתקבלת רשימה המבוססת על התעבורה שנצפתה. במסך Outbound אתה מאשר את היעדים שהכלי באמת צריך. כתובות שמשמשות כמה שירותים במשותף אינן מאושרות אוטומטית, אלא מסומנות לבדיקה שלך.

האכיפה מתחת לכלי. לאחר הפעלת ההגבלה הכלי יכול להתחבר רק ליעדים שאישרת. כל ניסיון להתחבר ליעד אחר נחסם לפני שהתעבורה יוצאת מהשרת. ההגבלה חלה רק על הכלי שבחרת, ושאר השרת ממשיך לפעול כרגיל. אפשר להחיל את ההגבלה על כמעט כל כלי שהמערכת מזהה, והמסך מציג לכל כלי אם הוא מוגבל. אם לא תאשר את ההגבלה סופית בתוך עשר דקות, היא תתבטל אוטומטית. nuDefend מנטר את עצמו ומשחזר את הכללים שלו אם מישהו מנסה לשנות אותם.

גם מה הוא מברר. כלי מוגבל יכול לברר רק את הכתובות שאישרת. כל בירור אחר נעצר לפני שהוא יוצא מהשרת. האישור חל על השם המדויק, ולא על תתי-הדומיינים שלו. כל בירור שנעצר מוצג במסך לצד שם הכלי. לרוב זהו הסימן הראשון לכך שכלי מנסה להגיע ליעד שלא אישרת.

וגם הצד המקבל. nudefend expose מציג כל שירות שמאזין בשרת ומי יכול להגיע אליו. nuDefend מתריע כששירות שהיה פנימי נעשה נגיש מבחוץ. רשימת איומים חתומה מתעדכנת כל 30 דקות וחוסמת תעבורה אל כתובות ודומיינים זדוניים ומהם. ניסיונות חוזרים לנחש סיסמאות ב-SSH, בדואר, ב-FTP ובדפי הכניסה של האתר נחסמים בחומת האש.

פרטים נוספים בעמוד התעבורה היוצאת, בעמוד החשיפה ובתיעוד.

בשורה התחתונה

מעבדת AI, מסגרת הטכניקות של MITRE ורשות סייבר לאומית מצביעות על אותה בקרה: רשימת יעדים מאושרים לכל סוכן, שנאכפת ברשת ולא בפרומפט, ורישום חיבורים שאינו תלוי בדברי הסוכן. מקרי השימוש במקצרי כתובות שתיארה Anthropic מראים מה קורה כשהמגבלה נמצאת בתוך הכלי. בשרת Linux איש לא כתב עבורך את רשימת היעדים המורשים. לכן זו המשימה הראשונה: לבדוק לאן כל סוכן מתקשר, לכתוב רשימה בלי שירותי ממסר כלליים ולאכוף אותה בשכבה שמתחת לסוכן.