הערכת סיכוני תשתית לסוכני AI

# הערכת סיכוני תשתית לסוכני AI

ציון סיכון: 58 מתוך 100

נענו 12 מתוך 12 שאלות.

זו הערכה עצמית שנבנית מהתשובות שלכם, לא סריקה של התשתית, ביקורת אבטחה או הסמכת תאימות. ההמלצות הן פרקטיקות כלליות עם המקורות שלהן; בדקו אותן מול ההגדרות שלכם.

מקור: https://anaroq.com/he/agents/risk-assessment

## תשובות

### סודות

- לאילו פרטי גישה הסוכן יכול לגשת בסביבה שבה הוא רץ? **מפתחות או tokens ארוכי חיים עם הרשאות רחבות**
- האם קובצי סודות (‏.env, מפתחות פרטיים) נמצאים בתיקיות שהסוכן עובד בהן? **כן, אבל ההרשאות של הסוכן חוסמות את קריאתם**

### רשת

- לאן הסביבה של הסוכן יכולה להתחבר? **לכל מקום באינטרנט**
- האם הסוכן קורא תוכן שאנשים אחרים יכולים לכתוב? **כן**
- האם הסביבה של הסוכן מקבלת חיבורים מבחוץ? **לא**

### סביבת פרודקשן

- מה הסוכן יכול לעשות בסביבת הפרודקשן? **קריאה בלבד**

### תקציב ומשאבים

- האם יש תקרת הוצאה בחשבונות שהסוכן משתמש בהם? **רק התראות**
- האם המעבד, הזיכרון, הדיסק וזמן הריצה של הסביבה של הסוכן מוגבלים? **לא**

### זמן החיים של הסביבה

- כמה זמן חיה הסביבה של הסוכן? **נשמרת ולא מאופסת (למשל המחשב של מפתח)**

### אישור אדם וזהות

- אילו פעולות אדם מאשר לפני שהן קורות? **חלק מהן**
- באיזו זהות הסוכן פועל? **החשבון וה-tokens של אדם**

### תיעוד ובקרה

- האם הפקודות, קריאות הכלים והשינויים של הסוכן מתועדים? **כן, על אותה מכונה שהסוכן רץ עליה**

## ממצאים והמלצות

### גבוהה (2)

- **AQ-AGR-003** הסביבה של הסוכן יכולה להתחבר לכל מקום, ולכן נתונים יכולים לצאת וקוד לא מהימן יכול להיכנס.
  - המלצה: חסמו תעבורה יוצאת כברירת מחדל, והתירו רק את מאגרי החבילות וה-APIs שהמשימה צריכה, ברמת הרשת או ה-sandbox.
  - מקור: https://code.claude.com/docs/en/sandboxing
  - ב-ANAROQ: [מחולל הרשאות לסוכני קוד](https://anaroq.com/he/agents/permissions-generator)
- **AQ-AGR-101** לסוכן יש סודות, הוא קורא טקסט לא מהימן ויכול להתחבר לכל מקום: הוראות מוזרקות יכולות לגרום לו לשלוח את הסודות החוצה.
  - המלצה: שברו את השילוב: הסירו מהסוכן הזה את הסודות, את הקלט הלא מהימן או את הרשת הפתוחה; מספיק אחד מהם.
  - מקור: https://genai.owasp.org/llmrisk/llm01-prompt-injection/
  - ב-ANAROQ: [מחולל הרשאות לסוכני קוד](https://anaroq.com/he/agents/permissions-generator)

### בינונית (7)

- **AQ-AGR-001** הסוכן יכול לקרוא מפתחות ארוכי חיים עם הרשאות רחבות. דליפה נשארת שימושית עד שמישהו מבטל אותם.
  - המלצה: תנו לסוכן פרטי גישה קצרי חיים ומצומצמים לחשבון שאינו פרודקשן, והחזיקו את סודות הפרודקשן ב-secret manager שהוא לא יכול לקרוא.
  - מקור: https://cheatsheetseries.owasp.org/cheatsheets/Secrets_Management_Cheat_Sheet.html
  - ב-ANAROQ: [מחולל הרשאות לסוכני קוד](https://anaroq.com/he/agents/permissions-generator)
- **AQ-AGR-004** הסוכן קורא טקסט שאנשים אחרים יכולים לכתוב. הוראות שמוסתרות בו (prompt injection) יכולות לכוון את מה שהסוכן עושה.
  - המלצה: התייחסו לתוכן הזה כנתונים: תנו לסוכן שקורא אותו פחות כלים ובלי סודות, ובקשו אישור אדם לפני כל פעולה שהוא מציע.
  - מקור: https://genai.owasp.org/llmrisk/llm01-prompt-injection/
  - ב-ANAROQ: [מחולל הרשאות לסוכני קוד](https://anaroq.com/he/agents/permissions-generator)
- **AQ-AGR-008** המעבד, הזיכרון, הדיסק וזמן הריצה של הסוכן לא מוגבלים, ולכן משימה שיצאה משליטה יכולה להשבית את המכונה.
  - המלצה: הריצו את הסוכן ב-container או ב-VM עם מגבלות מעבד, זיכרון ודיסק, ועצרו כל משימה אחרי timeout.
  - מקור: https://genai.owasp.org/llmrisk/llm102025-unbounded-consumption/
  - ב-ANAROQ: [מחשבון משאבים לסוכני AI: ‏vCPU, ‏RAM, דיסק ו-GPU](https://anaroq.com/he/tools/agent-workload-sizer)
- **AQ-AGR-009** הסביבה לא מאופסת לעולם: פרטי גישה, קבצים ושינויים מכל משימה מצטברים בה.
  - המלצה: תנו לכל משימה סביבה חדשה, כמו container או development container, ומחקו אותה כשהמשימה מסתיימת.
  - מקור: https://code.claude.com/docs/en/devcontainer
- **AQ-AGR-010** רק חלק מהפעולות המסוכנות דורשות אישור אדם; האחרות קורות ברגע שהסוכן מחליט.
  - המלצה: דרשו אישור אדם לכל פעולה הרסנית או כזו שיוצאת החוצה: מחיקה, push, פריסה, תשלום ושליחה.
  - מקור: https://genai.owasp.org/llmrisk/llm062025-excessive-agency/
  - ב-ANAROQ: [מחולל הרשאות לסוכני קוד](https://anaroq.com/he/agents/permissions-generator)
- **AQ-AGR-011** הסוכן פועל בתור אדם, ולכן אי אפשר להבחין בין הפעולות שלו לשלהם, והן נושאות את כל הגישה שלהם.
  - המלצה: תנו לסוכן חשבון או token משלו, רק עם ההרשאות שהמשימה צריכה, כך שאפשר להבחין בפעולות שלו ולבטל אותן.
  - מקור: https://genai.owasp.org/llmrisk/llm062025-excessive-agency/
- **AQ-AGR-103** פרטי גישה חזקים נשארים בסביבה שלא מאופסת לעולם, ולכן הם חיים יותר מהמשימה שהייתה צריכה אותם.
  - המלצה: הנפיקו את פרטי הגישה לכל משימה ובטלו אותם בסופה, או העבירו את הסוכן לסביבה שנמחקת אחרי כל משימה.
  - מקור: https://genai.owasp.org/llmrisk/llm022025-sensitive-information-disclosure/

### נמוכה (4)

- **AQ-AGR-002** קובצי סודות יושבים ליד העבודה של הסוכן, ומוגנים רק בכללי ההרשאות שלו. פקודת shell עדיין יכולה לקרוא אותם.
  - המלצה: העבירו קובצי `.env` ומפתחות מחוץ לסביבת העבודה, חסמו אותם בהרשאות של הסוכן, והריצו את הסוכן במקום שתיקיית הבית שלכם לא חשופה בו.
  - מקור: https://code.claude.com/docs/en/permissions
  - ב-ANAROQ: [מחולל הרשאות לסוכני קוד](https://anaroq.com/he/agents/permissions-generator)
- **AQ-AGR-006** הסוכן יכול לקרוא מהפרודקשן. קריאות עדיין יכולות לחשוף נתוני לקוחות או להעמיס על מסד נתונים.
  - המלצה: השאירו את הסוכן מחוץ לפרודקשן: תנו לו להציע שינויים דרך pull request ו-pipeline שאדם מאשר.
  - מקור: https://genai.owasp.org/llmrisk/llm062025-excessive-agency/
  - ב-ANAROQ: [מחולל הרשאות לסוכני קוד](https://anaroq.com/he/agents/permissions-generator)
- **AQ-AGR-007** ההוצאה מייצרת התראות אבל לא נעצרת. לולאה בלילה מחויבת לפני שמישהו קורא אותן.
  - המלצה: הגדירו תקרת הוצאה קשיחה למפתח ה-API של המודל ולחשבון הענן שהסוכן משתמש בו, והשאירו התראות מעליה.
  - מקור: https://genai.owasp.org/llmrisk/llm102025-unbounded-consumption/
  - ב-ANAROQ: [מחשבון משאבים לסוכני AI: ‏vCPU, ‏RAM, דיסק ו-GPU](https://anaroq.com/he/tools/agent-workload-sizer)
- **AQ-AGR-012** התיעוד נשמר איפה שהסוכן רץ, ולכן הסוכן, או מי שהשתלט עליו, יכול לשנות או למחוק אותו.
  - המלצה: תעדו את הפקודות, קריאות הכלים והשינויים של הסוכן, ושלחו את התיעוד למקום שהסוכן לא יכול לכתוב אליו.
  - מקור: https://cheatsheetseries.owasp.org/cheatsheets/Logging_Cheat_Sheet.html

---

מנוע: ‏@anaroq/agents/risk 1.0.0, שאלון agent-infra-risk גרסה 1