האם AI יחליף את אנשי הסייבר? כך ייראה המקצוע בשנים הקרובות

מה AI כבר עושה טוב בעולם הסייבר

כלים גנרטיביים ומודלי שפה גדולים (LLMs) הוכיחו יעילות בפעולות שמאופיינות בכמות מידע גדולה ובדפוסים חוזרים. הם מקצרים משמעותית זמן עבודה במשימות שוליות ומאפשרים לאנשי סייבר להתמקד במה שחשוב באמת.

• סיכום לוגים והתראות — הפיכת מידע גולמי לתיאור קריא.
• Triage ראשוני של אירועים — סיווג לפי חומרה, קטגוריה או תבנית מוכרת.
• כתיבת שאילתות (KQL, SPL, SQL) והסבר על שאילתות קיימות.
• יצירת מסמכי מדיניות, תסריטי SOC, נהלי IR וטקסטים פנימיים.
• אוטומציה של פעולות חוזרות דרך Playbooks ב־SOAR.
• עזרה בלמידה: הסבר מושגים מורכבים בשפה נגישה למתחילים.

מה AI עדיין לא עושה טוב מספיק

לצד היכולות המרשימות, AI רחוק מלהיות תחליף לאיש מקצוע. יש שורה של משימות שבהן שיקול הדעת, הקונטקסט הארגוני והאחריות אינם ניתנים להעברה למודל.

• החלטה על סיווג אירוע חמור — false positive או תקיפה אמיתית.
• בניית מודל איומים לארגון ספציפי על סמך תרבות עבודה, לקוחות ורגולציה.
• משא ומתן עם צוות פיתוח או עם הנהלה על תעדוף פרצות.
• פרשנות של אירוע DFIR מורכב וקבלת החלטה על escalation.
• אחריות מקצועית ומשפטית על הפעולות שננקטו.

סיכונים חדשים ש־AI מייצר

השימוש ב־AI לא רק פותר אתגרים אלא גם מייצר חדשים. NIST פרסמו AI Risk Management Framework (AI RMF) כדי לעזור לארגונים לנהל את הסיכונים האלה בצורה מסודרת.

• Hallucinations — המודל ממציא עובדות ומייצר תשובה שנשמעת אמינה אך לא מדויקת.
• Prompt Injection — תוקף מזין הוראות זדוניות לתוך פרומפט שהמודל יבצע.
• Data Leakage — מידע ארגוני רגיש עלול לזלוג דרך שימוש בלתי מבוקר במודלים ציבוריים.
• Privacy — עיבוד מידע אישי מזהה של לקוחות ועובדים בכלי AI חיצוניים.
• Model Risk — הסתמכות עיוורת על פלט של מודל בלי אימות אנושי.

איך משתנים תפקידי סייבר קלאסיים

AI לא מבטל תפקידים, אבל הוא משנה משמעותית את סדר היום. בטבלה למטה מוצגות דוגמאות למשימות שהופכות מהירות יותר בעזרת AI, לצד משימות שנשארות באחריות מלאה של אנשי המקצוע.

מיומנויות שכדאי לפתח לעידן ה־AI

• ✓יסודות חזקים ברשתות, מערכות הפעלה וזהויות — AI לא ממלא את החוסר הזה.
• ✓הבנת מודלי סיכון ואיומים, כולל סיכוני AI ספציפיים.
• ✓יכולת לכתוב, לתחזק ולבקר Prompts מקצועיים.
• ✓שליטה בכלי SOC, SIEM ו־SOAR מודרניים עם רכיבי AI.
• ✓הבנה בסיסית של איך מודלים עובדים ואילו מגבלות יש להם.
• ✓אנגלית טכנית טובה — רוב התיעוד המקצועי הוא באנגלית.

Workflow בטוח של Human-in-the-loop

העיקרון המנחה של רוב הארגונים כיום הוא Human-in-the-loop: המודל עוזר, אך אדם חייב לאשר פעולות בעלות השפעה. מבנה עבודה זה מפחית את הסיכון של החלטה שגויה על סמך פלט לא מאומת.

1. הגדרת גבולות — לאילו מערכות ולאילו נתונים המודל יכול לגשת.
2. פרומפט מסודר — עם הקשר, מגבלות ופורמט תשובה.
3. אימות פלט — אדם בודק, מתקן ומאשר.
4. תיעוד ופיקוח — לוגים של כל שימוש, כולל שאילתות ופלטים.
5. עדכון מדיניות — סקירה תקופתית של השימושים המותרים.

תרחישים ריאליים משטח

כדי לתת המחשה מעשית, נציג שלושה תרחישים שבהם השילוב של אדם ו־AI נותן תוצאה טובה יותר משניהם לחוד.

• SOC — האנליסט מקבל התראה, המודל מסכם את הלוגים הרלוונטיים ומציע תרחיש. האנליסט מחליט האם להסלים ומתעד את הסיבה.
• GRC — המודל מייצר טיוטת נוהל אבטחה. עורך הדין הפנימי ואיש GRC מתאימים אותה לחוקים ולתרבות הארגון לפני פרסום.
• AppSec — המודל מציע תיקון לקוד לא מאובטח. המפתח סוקר את הפלט, בודק שהוא לא שובר לוגיקה קיימת, ומריץ טסטים.

מה זה אומר עלייך אם את/ה מתחיל/ה בסייבר היום

עבור מי שנכנס לתחום בימים אלה, ההזדמנות דווקא גדולה. השילוב של הבנת יסודות, יכולת לעבוד עם AI ותודעה של אחריות מקצועית הוא בדיוק מה שארגונים מחפשים היום. חשוב לזכור שלא ניתן לצפות מראש מתי בדיוק ישתנה שוק העבודה או באיזה קצב, ולכן ההשקעה בבסיס איתן ובלמידה מתמשכת היא ההימור הטוב ביותר.

Checklist שימוש אחראי ב־AI לעבודת סייבר

• ✓אל תזין מידע אישי מזהה או מידע ארגוני רגיש למודל ציבורי ללא אישור.
• ✓אמת כל פלט של מודל מול מקור סמכות (RFC, תיעוד רשמי, מדיניות).
• ✓השתמש בפרומפט עם הקשר ברור ומגבלות מדויקות.
• ✓תעד כל שימוש ב־AI שהוביל לפעולה על מערכת אמיתית.
• ✓עדכן את מדיניות השימוש ב־AI לפחות פעם בשנה או בכל שינוי משמעותי.

איך צוותי SOC משלבים AI בפועל

במרכזי בקרה מודרניים, AI לרוב מוטמע בשכבת ה־SIEM וה־SOAR. מודלים סטטיסטיים מסייעים לזהות חריגות, מודלי שפה עוזרים לסכם התראות, וסוכנים חצי־אוטומטיים מציעים playbooks לאישור אנליסט. חשוב להבין: אלה שכבות עזר, לא תחליף להליך החקירה של אנליסט מנוסה. כישלון של המודל בזיהוי אירוע אחד יכול להיות ההבדל בין תקרית קטנה לבין דליפת נתונים גדולה.

בגלל זה ארגונים מודדים גם accuracy וגם false-negative rate של המודלים שהם משתמשים בהם, וקובעים מנגנוני fallback ידניים. הידע הזה — למדוד מודל, לזהות מתי הוא טועה, ולהגדיר תגובה מתאימה — הוא אחת המיומנויות החדשות שנדרשות מאנליסט SOC בעידן ה־AI.

מה כדאי לקרוא כדי להעמיק

מסמכי המפתח בתחום נגישים ורובם באנגלית. NIST AI RMF מציג מסגרת ניהול סיכונים כללית לכל שימוש ב־AI, מסמכי CISA מפרטים המלצות מבצעיות לצוותי אבטחה, ו־OWASP GenAI Security Project ממפה את סיכוני האבטחה הספציפיים ליישומים מבוססי מודלים. קריאה של המסמכים האלה נותנת מסגרת חשיבה מקצועית שקשה לקבל מקורסים קצרים או פוסטים בבלוגים.

לצד המקורות הרשמיים, כדאי לעקוב אחרי דוחות אחרי אירוע (post-mortems) פומביים של חברות שחוו תקיפות. הם ממחישים איך AI השתלב או לא השתלב בזיהוי, וכיצד תיעוד אנושי טוב הוא מה שאיפשר בסופו של דבר להבין את שרשרת האירועים.

לסיכום

AI לא יחליף את אנשי הסייבר בתקופה הנראית לעין. הוא ימשיך להאיץ משימות, לצמצם עבודה שגרתית ולפתוח שאלות אתיות וארגוניות חדשות. אנשי המקצוע שיישארו רלוונטיים הם אלה שילמדו לעבוד לצדו: לנצל את היתרונות, להיות מודעים למגבלות, ולשמור על אחריות אנושית בכל החלטה שנוגעת בנתונים ובמערכות של הארגון.

שאלות ותשובות

מקורות

• NIST AI Risk Management Framework (AI RMF)
• CISA — Artificial Intelligence guidance and resources
• OWASP GenAI Security Project