עוד לפני שנה, "בינה מלאכותית בדפדפן" הייתה בעיקר חלון צ'אט צדדי שעונה על שאלות. היום כלים כאלה גם פועלים בשם המשתמש. דוגמאות לכך הן Copilot ב-Edge ו-Gemini ב-Chrome. לצדם פועלים Comet של Perplexity ו-Atlas של OpenAI. הם קוראים דפים, ממלאים טפסים ולוחצים על כפתורים כדי להשלים משימות. באותו זמן המשתמש עשוי להיות מחובר לחשבונות רגישים, מהדוא"ל העסקי ועד לבנק. הנוחות הזו היא בדיוק מה שהופך את הכלים האלה למועדפים על בעלי עסקים עמוסים. עם זאת, היא גם פותחת דלת אחורית חדשה שרוב המשתמשים לא מודעים לה בכלל.
מה זה עוזר AI בדפדפן, ולמה הוא הפך לכלי עבודה יומיומי
עוזרי AI "אגנטיים" (agentic) פועלים בתוך תוספי דפדפן או בדפדפנים ייעודיים. הם קוראים ומסכמים, וגם מבצעים פעולות בשם המשתמש. למשל, הם יכולים לנווט בין דפים ולהזין נתונים בטפסים. בהתאם להרשאות, הם יכולים גם לרכוש מוצרים ולגשת לתיבת הדוא"ל. מיקרוסופט שילבה יכולות כאלה ב-Edge, וגוגל שילבה אותן ב-Chrome. גם דפדפנים כמו Comet ו-Atlas מאפשרים ל-AI לבצע משימות גלישה שלמות. לבעל עסק עמוס זו אפשרות נוחה. הוא יכול לבקש השוואת מחירים אצל שלושה ספקים ומילוי טופס, ולקבל תוצאה. כדי לבצע זאת, העוזר משתמש בהרשאות הגלישה של המשתמש. הגישה עשויה לכלול גם חשבונות שהמשתמש מחובר אליהם באותו רגע.
מה זו התקפת Prompt Injection עקיפה, ואיך היא עובדת בפועל
התקפת Prompt Injection עקיפה מתחילה בתוכן שהעוזר קורא לצורך המשימה. המשתמש עשוי לבקש סיכום של דף או ניתוח של מסמך. התוקף משתיל בתוך אותו מקור הוראות שמנסות לשנות את התנהגות העוזר. הסיכון נוצר כאשר העוזר מתייחס להוראות האלה כאל בקשה שעליו לבצע. התוכן הזדוני יכול להופיע בטקסט וגם בתמונה, ולא תמיד האדם מבחין בו. התוצאה האפשרית תלויה בכלים ובהרשאות של העוזר. היא יכולה להיות תשובה מטעה, חשיפת מידע או שימוש לא מאושר במערכת מחוברת. לכן צריך להפריד בין תוכן חיצוני לבין הוראות המשתמש, ולצמצם את הרשאות הכלי. OWASP ממליצה גם על אישור אנושי לפעולות בסיכון גבוה. לקריאה נוספת: הסבר OWASP על Prompt Injection.
ההוכחות בשטח: כך חוקרי Brave חטפו עוזרי AI מובילים
זה לא תרחיש תיאורטי. צוות האבטחה של דפדפן Brave מפרסם סדרת חשיפות מאז אוגוסט 2025. את העבודה מובילים שיוואן קאול סאהיב, סגן נשיא לפרטיות ואבטחה, ומהנדס האבטחה ארטם צ'ייקין. המחקרים מדגימים כיצד תוקפים יכולים לחטוף עוזרי AI. בחשיפה הראשונה, החוקרים השתמשו בתגובה תמימה לכאורה ברשת חברתית. התגובה הובילה את Comet של Perplexity לחשבון בנק או דוא"ל של המשתמש. בהמשך בדקו החוקרים גם צילומי מסך כערוץ תקיפה. הם הסתירו הוראות בתמונה, בטקסט תכלת דהוי על רקע צהוב. ההוראות הובילו את העוזר לפעול בדפדפן בלי לעורר את תשומת לב המשתמש. החוקרים זיהו חולשה דומה גם ב-Opera Neon וב-Fellou. המשתמש רק ביקש מהעוזר להיכנס לאתר. הטקסט שבדף הצליח להחליף את ההוראות המקוריות.
במחקר של Brave נבדקו גם Tabstack וכלי ההשלמה המקומי Cotypist. המקרים מדגימים שהסיכון תלוי ביכולת הכלי לקרוא תוכן חיצוני ולפעול עליו. Brave מציינת תיקון ל־Tabstack ב־1 ביוני 2026. במקרה Cotypist הוצעה השלמה מזיקה, אך נדרש אישור המשתמש באמצעות Tab; הכלי לא שלח מידע באופן אוטונומי. ראו המחקר וציר הזמן של התיקונים.
מה אפשר ללמוד מבדיקות אבטחה של סוכני AI
בדיקות תקיפה מדגימות סיכון בתרחישים מסוימים, ולא שיעור הצלחה צפוי בכל עסק. תוצאות תלויות במודל, בגרסה, בהרשאות ובמערך ההגנות. בעת בחירת כלי בדקו תיעוד עדכני, תיקונים שפורסמו ואפשרות לחייב אישור לפני שליחת מידע או שינוי במערכת.
מה זה אומר לעסק קטן-בינוני בישראל
- עובד שמשתמש בעוזר AI בדפדפן בדרך כלל מחובר, באותו הרגע, לחשבונות רגישים. מייל עסקי, מערכת CRM, ולעיתים אפילו בנק עסקי או WhatsApp Business, כל אלה עלולים להיות חשופים אם העוזר נחטף באמצע משימה.
- תוכן זדוני עשוי להגיע לכלי במסגרת משימה רגילה, כגון סיכום דף. היכולת לגרום לפעולה מזיקה תלויה בהרשאות ובהגנות; בחלק מהמוצרים נדרש גם אישור אנושי.
- עיבוד מקומי מצמצם תלות בשירות ענן, אך אינו מונע בפני עצמו Prompt Injection. צריך לבדוק גם את מקור התוכן, הרשאות הכלי והפעולות שהוא רשאי לבצע.
- הגנות המוצר דורשות בדיקה ועדכון. אין להסתמך על שיקול דעתו של המודל בלבד כדי לאשר גישה למידע רגיש או פעולה בלתי הפיכה.
- עסק בלי מדיניות ברורה לשימוש בכלי AI אגנטיים חשוף לסיכון שרוב העובדים בו לא מודעים לו בכלל. ההרגל להשתמש בעוזר AI כדי "לחסוך זמן" יכול בקלות להפוך לערוץ דליפת מידע.
מה עושים עכשיו: צ'קליסט מהיר
- להימנע משימוש בעוזרי AI בדפדפן במקביל לחיבור פעיל לחשבונות רגישים, כמו בנק עסקי או מערכות תשלומים, אלא אם קיימת הפרדה ברורה בין דפדוף רגיל לדפדוף אוטונומי.
- להפעיל את העוזר רק כשמדובר בבקשה מפורשת של המשתמש, ולא לאפשר לו לנווט לדפים או למלא טפסים ביוזמתו, אם הדפדפן מציע הגדרה כזו.
- לבדוק אילו הרשאות יש לכלי AI ארגוניים, כמו Copilot או Gemini, בחשבונות Microsoft 365 או Google Workspace של העסק, ולצמצם אותן למינימום ההכרחי.
- לעדכן באופן שוטף דפדפנים ותוספים, כדי לקבל תיקוני אבטחה כמו אלה שכבר פורסמו למיקרוסופט Copilot Studio ול-Gemini ב-Chrome.
- להדריך עובדים לזהות התנהגות חריגה: אם עוזר AI פותח דפים לא קשורים, ממלא טפסים בעצמו או מבקש אישור למשהו לא ברור, הכלל הוא לעצור ולבדוק לפני שממשיכים.
- להפעיל אימות חזק בחשבונות רגישים. MFA מסייע להגן על הכניסה, אך אינו מונע בהכרח פעולה של סוכן בתוך התחברות שכבר אושרה. לכך נדרשים גם גבולות הרשאה ובקרה על הפעולות.
סיכום
עוזרי AI בדפדפן יכולים לחסוך זמן בעבודה, אך הרשאות רחבות דורשות בקרה. התחילו ממשימות מוגדרות ובדקו את התוצאה לפני שימוש בה. קבעו אילו פעולות הכלי רשאי לבצע ומתי הוא צריך לעצור לאישור. בנוסף, הגדירו למי העובד מדווח אם העוזר פועל באופן לא צפוי. הגנות המוצר הן חלק מהתמונה, לצד ניהול ההרשאות והדרכת הצוות. בחנו את המדיניות מחדש כאשר מוסיפים כלי או מחברים מקור מידע. כך ההחלטה על שימוש ב-AI תתבסס על צורך עסקי ועל גבולות ברורים. לקריאה נוספת: Shadow AI ושימוש בטוח בכלי AI בעסק וגם בדיקה וביטול של הרשאות אפליקציות ישנות. לפרטי השירות: אבטחת מידע לעסקים.
איך זה פוגש את העסק שלך בפועל
ב-Hot PC אנחנו ממפים את כלי ה-AI בסביבת Microsoft 365 או Google Workspace של העסק. לאחר מכן מצמצמים הרשאות לפי הצורך ומוודאים אימות דו-שלבי בחשבונות רגישים. בנוסף, מדריכים את הצוות לזהות התנהגות חריגה של עוזר AI. המטרה היא לזהות סיכון מוקדם ולצמצם את הסיכוי לתקרית.