אנתרופיק, OpenAI, Cloudflare וגוגל: ארבעה סוכני AI לציד באגי אבטחה, ושיטת עבודה אחת
אנתרופיק, OpenAI, Cloudflare וגוגל השיקו כל אחת סוכן AI שסורק קוד מקור ומחפש בו פרצות אבטחה. סקירה השוואתית של MarkTechPost מצאה שכל ארבעת הכלים עובדים באותו מחזור: מציאת חולשה, ניסיון להפריך אותה ורק אחר כך תיקון. ככל הנראה זה מעיד על כך שהתעשייה מתכנסת לשיטת עבודה אחת בתחום.
ארבע מהחברות הבולטות בתעשייה, אנתרופיק, OpenAI, Cloudflare וגוגל, השיקו כל אחת סוכן AI שתפקידו לסרוק קוד מקור ולאתר בו באגי אבטחה. סקירה השוואתית שפרסם האתר MarkTechPost מציבה את הכלים זה לצד זה, תחת השמות Claude, Codex, Mantis ו-Cloudflare. הממצא המרכזי: למרות שמדובר בארבע חברות מתחרות, כל הכלים פועלים באותה שיטה, מחזור של מציאה, הפרכה ותיקון.
מה זה סוכן אבטחה מבוסס AI
כלי ניתוח קוד אוטומטיים קיימים כבר שנים, אבל רבים מהם סובלים מבעיה מוכרת: הם מייצרים הרבה "אזעקות שווא", כלומר אזהרות על בעיות שאינן באמת ניתנות לניצול. צוותי פיתוח נאלצים להשקיע זמן רב כדי לסנן אותן. סוכן AI (agent) שונה מסורק רגיל בכך שהוא לא רק מסמן שורות חשודות. הוא מבצע רצף פעולות בעצמו: קורא את הקוד, מסיק מסקנות ומציע שינויים.
המחזור המשותף: למצוא, להפריך, לתקן
לפי MarkTechPost, כל ארבעת הכלים עובדים באותה לולאה:
- מציאה: הסוכן מאתר בקוד חולשה אפשרית.
- הפרכה: הסוכן מנסה להוכיח שהממצא שגוי, כלומר שהבאג לא באמת קיים או לא ניתן לניצול.
- תיקון: רק ממצא שהסוכן לא הצליח להפריך מגיע לשלב של הצעת תיקון (patch).
שלב ההפרכה הוא ככל הנראה החשוב מכולם. מודלי שפה (LLM) נוטים לפעמים "להזות", כלומר להציג בביטחון מסקנות שאין להן בסיס. כשהסוכן נדרש לתקוף את הממצאים של עצמו לפני שהוא מציג אותם, הוא אמור לסנן חלק גדול מהרעש. המשמעות למפתחים היא פחות דיווחים, אבל דיווחים אמינים יותר.
במה הכלים נבדלים
הכתבה המקורית מתארת את ההבדלים בין ארבעת הכלים, ומציגה בנוסף 12 כלים נוספים בתחום. לכן התמונה רחבה יותר מארבע החברות הגדולות. מי שבוחר כלי לארגון שלו יכול לקרוא את ההשוואה המלאה כדי לראות את ההבדלים בפירוט.
למה זה חשוב
העובדה שארבע חברות הגיעו לאותו מבנה עבודה מעידה ככל הנראה על התבגרות של התחום. נראה שהתעשייה מבינה שהבעיה איננה למצוא עוד באגים, אלא למצוא באגים אמיתיים ולתקן אותם בלי להציף את המפתחים.
יש לכך גם צד שני. אם כלים כאלה זמינים למגינים, סביר להניח שגישות דומות יהיו זמינות גם לתוקפים, והמרוץ בין מציאת פרצות לבין סגירתן עשוי להתקצר. עבור ארגונים, גם בישראל, ההשלכה המעשית היא שסריקת אבטחה אוטומטית ומתמשכת של הקוד הופכת לחלק רגיל מתהליך הפיתוח, ולא לביקורת חד-פעמית לפני השקה.
עם זאת, כדאי לזכור שהשוואה בין כלים אינה תחליף לבדיקה עצמאית. היעילות של כל סוכן בקוד אמיתי, בשפות ובמערכות שונות, היא שאלה שכל ארגון יצטרך לבחון בעצמו.