סוכני ה-AI בדפדפן עלולים להישלט בלי שתשימו לב: מה זו התקפת Prompt Injection, ומה זה אומר לעסק שלך

עוד לפני שנה, "בינה מלאכותית בדפדפן" הייתה בעיקר חלון צ'אט צדדי שעונה על שאלות. היום המצב שונה לגמרי: כלים כמו Copilot המובנה ב-Edge, Gemini המובנה ב-Chrome, Comet של Perplexity ו-Atlas של OpenAI כבר לא רק עונים, הם פועלים. הם קוראים דפי אינטרנט, ממלאים טפסים, לוחצים על כפתורים ומבצעים משימות שלמות בשם המשתמש, בזמן שהוא מחובר לחשבונות הרגישים ביותר שלו, מהמייל העסקי ועד לבנק. הנוחות הזו היא בדיוק מה שהופך את הכלים האלה למועדפים על בעלי עסקים עמוסים, אבל היא גם פותחת דלת אחורית חדשה שרוב המשתמשים לא מודעים לה בכלל.

מה זה עוזר AI בדפדפן, ולמה הוא הפך לכלי עבודה יומיומי

עוזרי AI "אגנטיים" (agentic) הם דור חדש של תוספי דפדפן ודפדפנים שלמים שיודעים לא רק לקרוא ולסכם תוכן, אלא גם לפעול בעצמם: לנווט בין דפים, להזין נתונים בטפסים, לבצע רכישות ואפילו לגשת לתיבת המייל בשם המשתמש. מיקרוסופט הטמיעה יכולת כזו ישירות ב-Edge, גוגל עשתה זאת ב-Chrome, ולצדן צמחו דפדפנים ייעודיים כמו Comet ו-Atlas שכל הרעיון שלהם הוא לתת לבינה מלאכותית לבצע עבורכם משימות דפדוף שלמות. עבור בעל עסק עמוס, זה נשמע כמו חלום: לבקש "תבדוק לי מחירים אצל שלושה ספקים ותמלא את הטופס" ולקבל תוצאה גמורה. הבעיה היא שכדי לעשות את זה, העוזר צריך לפעול עם אותן ההרשאות שיש למשתמש עצמו, כולל גישה לחשבונות שהוא מחובר אליהם באותו רגע.

מה זו התקפת Prompt Injection עקיפה, ואיך היא עובדת בפועל

מודלים של בינה מלאכותית מקבלים את כל המידע שלהם, גם ההוראות של המשתמש וגם התוכן שהם קוראים מהאינטרנט, כטקסט אחד רציף. הבעיה: המודל לא תמיד יודע להבחין בין "הוראה שקיבלתי מהמשתמש שלי" לבין "טקסט שמצאתי בדף אינטרנט שאני רק אמור לסכם". חוקרי אבטחה קוראים לפער הזה Prompt Injection עקיף (Indirect Prompt Injection): תוקף לא פונה למודל ישירות, אלא משתיל הוראות זדוניות בתוך תוכן שהעוזר יקרא כחלק ממשימה לגיטימית לגמרי, כמו סיכום דף, קריאת מסמך או עיבוד תוצאה מכלי אחר. כדי שההוראות יישארו בלתי נראות לאדם אבל קריאות למודל, תוקפים משתמשים בטריקים כמו טקסט לבן על רקע לבן, תווים ברוחב אפס, הערות HTML נסתרות בקוד הדף, ואפילו טקסט דהוי שמוסתר בתוך צילום מסך שהעוזר מתבקש לנתח. ברגע שהעוזר "בולע" את ההוראה הזו, הוא ממשיך לפעול איתה בדיוק כפי שהוא היה פועל עם בקשה אמיתית מהמשתמש, כולל גישה לחשבונות שהמשתמש מחובר אליהם באותה סשן דפדפן.

ההוכחות בשטח: כך חוקרי Brave חטפו עוזרי AI מובילים

זה לא תרחיש תיאורטי. צוות האבטחה של דפדפן Brave, בראשות שיוואן קאול סאהיב (סגן נשיא לפרטיות ואבטחה) וארטם צ'ייקין (מהנדס אבטחה), מפרסם מאז אוגוסט 2025 סדרת חשיפות שמראה כמה קל לחטוף עוזרי AI מובילים. בחשיפה הראשונה, מספיק היה תגובה תמימה-לכאורה ברשת חברתית כדי לגרום לעוזר Comet של Perplexity לגשת לחשבון בנק או מייל של המשתמש. בהמשך גילו החוקרים שגם צילומי מסך יכולים לשמש כערוץ תקיפה: הוראות זדוניות שהוסתרו בטקסט תכלת דהוי על רקע צהוב בתוך תמונה, גרמו לעוזר לבצע פעולות בדפדפן בלי שהמשתמש שם לב שמשהו לא תקין. חולשה דומה נמצאה גם בדפדפן Opera Neon וגם ב-Fellou, שם מספיק היה לבקש מהעוזר "תיכנס לאתר הזה" כדי שהתוכן הנראה לעין בדף ישתלט על ההוראות המקוריות.

החשיפה העדכנית ביותר, מיוני 2026, הראתה שהבעיה לא נעלמת גם כשעוברים לארכיטקטורה אחרת. החוקרים בדקו את Tabstack של מוזילה, שירות ענן שמאפשר לסוכני AI לגלוש באינטרנט, וביקשו ממנו משימה שגרתית לחלוטין: "סכם לי את הדף הזה". הדף שהחוקרים הכינו הכיל הוראה נסתרת שגרמה לסוכן לפתוח טופס באתר של התוקף, למלא בו את כל היסטוריית השיחה עם המשתמש, ולשלוח את הטופס, כלומר להדליף מידע החוצה בלי שהמשתמש ביקש או ידע. יומני החשיבה הפנימיים של הסוכן הראו שהוא לא היסס לרגע ולא ביקש אישור: הוא פשוט התייחס להוראה הזדונית כהמשך טבעי של המשימה שקיבל. באותה חשיפה נבדק גם Cotypist, כלי השלמת טקסט למק שרץ כולו על המכשיר עצמו ולא בענן. גם שם הוראה שהוטמעה במסמך מקומי גרמה למודל להציע השלמות שגויות ולחשוף פרטי התחברות של המשתמש בתוך ההצעות. המסקנה של החוקרים ברורה: גם עוזר AI שרץ מקומית על המחשב, ולא בענן, אינו בטוח יותר מבחינה מבנית מול ההתקפה הזו.

גם החברות עצמן מודות בסיכון: 31.5 האחוזים של Anthropic

אולי המדד המטריד ביותר הגיע דווקא מהחברה שמפתחת את המודל. ב-28 במאי 2026 פרסמה Anthropic דוח בטיחות מקיף שבו בחנה, בין היתר, את היכולת של סוכן ה-AI הדפדפני שלה (מבוסס Opus 4.8) לעמוד מול ניסיונות חטיפה. צוותי בדיקת חדירה מקצועיים ביצעו התקפות Prompt Injection על פני 129 סביבות אינטרנט שונות, ותוצאה: בלי הגנות ייעודיות, שיעור החטיפה המוצלח עמד על 31.5 אחוז. עם מלוא ערכת ההגנות מופעלת, השיעור צנח ל-0.5 אחוז, שיפור דרמטי, אבל גם הודאה ברורה שמדובר בסיכון אמיתי ומדיד שדורש שכבות הגנה פעילות, לא בעיה תיאורטית שתיפתר מעצמה. גם חברות אחרות נתקלו בבעיה דומה: מיקרוסופט תיקנה בינואר 2026 חולשת Prompt Injection ב-Copilot Studio (עם דירוג חומרה 7.5 מתוך 10), וגוגל תיקנה חולשה שאפשרה לתוספי דפדפן לחטוף את חלונית Gemini ב-Chrome ולגשת לקבצים מקומיים. גוגל עצמה דיווחה על עלייה של כ-32 אחוז בפעילות זדונית מסוג הזה בין נובמבר 2025 לפברואר 2026, כך שהמגמה ברורה: הבעיה מתרחבת, לא נעלמת.

מה זה אומר לעסק קטן-בינוני בישראל

• עובד שמשתמש בעוזר AI בדפדפן בדרך כלל מחובר, באותו הרגע, לחשבונות רגישים. מייל עסקי, מערכת CRM, ולעיתים אפילו בנק עסקי או WhatsApp Business, כל אלה עלולים להיות חשופים אם העוזר נחטף באמצע משימה.
• ההתקפה לא דורשת שהעובד ילחץ על שום דבר חשוד. מספיק לבקש מהעוזר "תסכם לי את הדף הזה" כדי שהוראה נסתרת בדף תתפוס שליטה, בלי אזהרה ובלי בקשת אישור.
• עוזר AI שרץ על המחשב עצמו, ולא בענן, אינו פתרון בטוח יותר. כפי שהראה מקרה Cotypist, גם מודל מקומי חשוף לאותה חולשה מבנית.
• ההגנות הקיימות עדיין רחוקות משלמות, גם אצל היצרנים המובילים. אם ל-Anthropic יש שיעור חטיפה נמדד אפילו לאחר הגנות, ברור שאי אפשר לסמוך על "הבינה המלאכותית תדע להיזהר" כשכבת ההגנה היחידה.
• עסק בלי מדיניות ברורה לשימוש בכלי AI אגנטיים חשוף לסיכון שרוב העובדים בו לא מודעים לו בכלל. ההרגל להשתמש בעוזר AI כדי "לחסוך זמן" יכול בקלות להפוך לערוץ דליפת מידע.

מה עושים עכשיו: צ'קליסט מהיר

1. להימנע משימוש בעוזרי AI בדפדפן במקביל לחיבור פעיל לחשבונות רגישים, כמו בנק עסקי או מערכות תשלומים, אלא אם קיימת הפרדה ברורה בין דפדוף רגיל לדפדוף אוטונומי.
2. להפעיל את העוזר רק כשמדובר בבקשה מפורשת של המשתמש, ולא לאפשר לו לנווט לדפים או למלא טפסים ביוזמתו, אם הדפדפן מציע הגדרה כזו.
3. לבדוק אילו הרשאות יש לכלי AI ארגוניים, כמו Copilot או Gemini, בחשבונות Microsoft 365 או Google Workspace של העסק, ולצמצם אותן למינימום ההכרחי.
4. לעדכן באופן שוטף דפדפנים ותוספים, כדי לקבל תיקוני אבטחה כמו אלה שכבר פורסמו למיקרוסופט Copilot Studio ול-Gemini ב-Chrome.
5. להדריך עובדים לזהות התנהגות חריגה: אם עוזר AI פותח דפים לא קשורים, ממלא טפסים בעצמו או מבקש אישור למשהו לא ברור, הכלל הוא לעצור ולבדוק לפני שממשיכים.
6. לוודא אימות דו-שלבי על כל חשבון רגיש בעסק, כדי שגם אם עוזר AI כלשהו יחטף לרגע, הנזק האפשרי יישאר מוגבל.

סיכום

עוזרי AI בדפדפן באמת חוסכים זמן, וזו הסיבה שהם התפשטו כל כך מהר. אבל בדיוק כמו כל כלי חדש שמקבל הרשאות רחבות בשם המשתמש, הם דורשים זהירות שרוב בעלי העסקים עדיין לא מכירים. המחקרים שפורטו כאן, מ-Brave ועד לדוח הבטיחות של Anthropic על המוצר שלה עצמה, מראים שמדובר בבעיה מבנית שעדיין אין לה פתרון מלא, לא רק "עוד באג שיתוקן". השאלה שכל בעל עסק צריך לשאול את עצמו היא לא אם להשתמש בכלים האלה, אלא איך להשתמש בהם בזהירות, עם הרשאות מוגבלות, מדיניות ברורה ורשת ביטחון שמצמצמת נזק אם משהו כן משתבש.