שנת 2026 תציב את אבטחת הזהות במרכז – אז איך כדאי להיערך נכון?

תמונה: ChatGPT

שנת 2026 עומדת להיות שנת מפנה באבטחת זהויות: קצב ההתקדמות הטכנולוגית יעקוף לראשונה את יכולת ההסתגלות האנושית והארגונית. בעולם שבו מספר זהויות המכונה מזנק אך חיי תעודות הגישה הדיגיטליות (certificate) מתקצרים, ארגונים יגלו שהמודלים הידניים לניהול מחזור חיים פשוט לא עומדים בקצב. זהות תהפוך ל"קו הבקרה האחרון" ולמרכז הכובד של סיכוני הסייבר.

במקביל, סוכני AI אוטונומיים יוסיפו שכבות חדשות של סיכון, כאשר היעדר ממשל חזק יאפשר ל"סוכנים שיצאו משליטה" לגרום לשיבושים נרחבים. מנגד, ההבטחה של AI ממשיכה להתחלק באופן לא שוויוני, שכן חסמים כלכליים וחסמי חומרה מבססים את הדומיננטיות של ענקיות הטכנולוגיה ומותירים את השחקנים הקטנים יותר מאחור.

אך הגורם המשמעותי ביותר יהיה דווקא הגורם האנושי שיהפוך הן למטרה והן לווקטור של איומים חדשים: קשיים כלכליים ימשיכו להזין את העלייה בסיכונים פנימיים הנובעים ממניעים כספיים. במקביל, שחיקת חשיבה ביקורתית בשל נוף עתיר מידע שיוצרת בינה מלאכותית, תגביר את ההשפעה של דיסאינפורמציה והנדסה חברתית. בסביבה כזו, ארגונים לא יוכלו להסתפק בהתמודדות עם האתגרים הטכניים והתפעוליים של אבטחת זהויות בלבד – הם יבינו שצריך לטפל גם בגורמים האנושיים והחברתיים המתפתחים, אשר מעצבים את מצב האמון והחוסן.

אז למה צריך להיערך בשנה הקרובה?

הזהות תהפוך ל"מתג ההשבתה" של סוכנים שיצאו משליטה: לא מן הנמנע שסוכן AI שיצא משליטה יגרום לפריצה מבוססת זהות הגדולה הבאה בעידן הבינה המלאכותית. צוותים ממהרים להשתמש בפרוטוקול הקשר כדי לחבר סוכנים למערכות קריטיות אך לרוב סוכנים אלה מוגדרים על ידי מהנדסים שאינם מומחי זהות. מספיקה דליפת API אחת או הנחיה מזיקה אחת כדי להערים על סוכן ולגרום לפעולה לא מורשית, שבתורה תגרום לסוכן פגום להתפשט ברחבי הרשת. מאחר שארגונים אינם יכולים לעצור סוכנים אלה באופן פיזי, איום האבטחה המשמעותי ביותר הוא סוכן שיצא משליטה המבצע פעולה לא מורשית בתהליכי עבודה שונים המתקשרים ביניהם

מועצות מנהלים "מעורבות": בשנת 2026 ארגונים יתחילו להתקדם לקראת המציאות הסופית של מועצות מנהלים אוטונומיות לחלוטין של סוכני AI, באמצעות שילוב של "מועצות צללים" בממשל התאגידי. מערכות אלו לא יחליפו חברי דירקטוריון אנושיים בשנים הקרובות אך הן יתפקדו כטייסי משנה רבי עוצמה עבור המנכ"ל והדירקטורים האנושיים, בעיקר לצורך סימולציה של תרחישים וסיוע בניתוח נתונים ובקבלת החלטות מורכבות. הן לא יחליפו מנהלים אנושיים, אך יזכו לגישה לרמות העמוקות ביותר של נתונים ארגוניים ומכאן לסיכוני אבטחה מיידיים, לרבות האתגר של ניהול הזהויות והרשאות הגישה של ישויות AI חדשות וחזקות אלה.

פער ה-AI ילך ויעמיק: אנו עדים למרוץ חימוש כלכלי עולמי לחומרת AI. הביקוש למינרלים, כושר ייצור ושבבים מתקדמים הולך וגובר, במיוחד בין ארה"ב לסין. מכסים והגבלות יצוא מסבכים את הגישה לחומרה קריטית, ויוצרים אתגרים לוגיסטיים לארגונים המבקשים לפרוס יכולות AI בקנה מידה גדול. בנוסף, עלות הרצת תהליכי עבודה של בינה מלאכותית בענן מהווה מגבלה משמעותית. לדוגמה, שרת עם מעבדים גרפיים (GPU) יכול לעלות 350,000 דולר, בעוד שגישה ל-GPU בענן יכולה להגיע ל-3,500 דולר ליום, דבר שהופך את פעילות הבינה המלאכותית לבלתי כדאית מבחינה כלכלית עבור כל השחקנים מלבד הגדולים ביותר.

העידן הפוסט-קוונטי: אף שה-'Q-Day' האמיתי – הרגע בו מחשב קוונטי יוכל לפצח את כל הקריפטוגרפיה הנוכחית עדיין רחוק, קפיצה מבצעית נוספת תביא את יכולות הקוונטום כמעט למצב של שבירת ההצפנה RSA 2048. המשמעות: מדינות יכולות כבר כיום להתחיל לפצח את קריפטוגרפיית המפתח הציבורי העומדת בבסיס כל זהויות המכונה. עידן התוכניות הצופות פני עתיד יסתיים, כאשר ארגונים יבינו שהנתונים שלהם, וזהויות המכונה המגנות עליהם, חשופים להתקפות מסוג "אסוף עכשיו, פענח מאוחר יותר". עם הפיצוח, נוכל לצפות לעלייה בהתקפות שמקורן בשחקנים המעטים של מדינות שיכולים לבצע התקפות ארוכות טווח מסוג זה. סכנה מוחשית זו תאלץ ארגונים להתקדם מעבר לשלב הבדיקות ולאמץ מיד אסטרטגיית הגנה מקיפה וחזקה.

הגורם האנושי

שחיקת חשיבה ביקורתית תאפשר לקמפיינים של דיסאינפורמציה להיקלט בקלות. Shadow AI יגדל ככל שהעובדים יעקפו תהליכים ויפנו לכלי AI לא מאושרים מה שיוביל לחשיפת מידע ו"שטחים מתים" עבור צוותי אבטחה. עומס קוגניטיבי ממנגונים מרובי התראות יעלה את שיעור ההצלחות של פישינג, וידרוש חוויית אבטחה פשוטה ואוטומטית יותר.

עוגיות ומפתחות כיעד מרכזי: בשנה הקרובה התוקפים יתמקדו יותר ויותר בגניבת ה"מפתחות" הדיגיטליים המעניקים גישה למערכות ונתונים רגישים. עבור משתמשים אנושיים, המשמעות היא שעוגיות דפדפן הן המטרה. גניבת העוגיות מאפשרת לתוקפים לעקוף לחלוטין את הצורך בסיסמאות ואימות רב שלבי. טכניקה זו מסוכנת במיוחד, מכיוון שהיא מאפשרת לתוקפים להתחזות למשתמשים מבלי להפעיל התרעות אבטחה מסורתיות.

עבור שירותים וזהויות מכונה, המטרות המקבילות הן מפתחות API ואסימוני גישה. פריטי אימות אלה משמשים תוכנות, בוטים ומערכות אוטומטיות כדי לאמת את זהותם ולתקשר בצורה מאובטחת. בעזרתם יכול התוקף לקבל גישה לגיטימית למערכות קריטיות, לבצע מניפולציה של נתונים או לשבש פעולות מבלי להתגלות באופן מיידי.  ארגונים נדרשים לתעדף את ההגנה, הניטור והביטול המהיר של פרטי אימות אלה כדי למנוע פריצות ולהגביל את הנזקים מהן.

בוני הסוכנים במוקד: ככל שיותר ארגונים פונים ל-low/no-code לבניית סוכנים, אותם "בונים" ייהפכו למטרה. אמון מופרז במנגנונים פשוטים וחוסר מודעות לסיכוני זהות יוצרים שכבה חדשה של חולשות.

עלייה באיומים פנימיים מונעי מצוקה כלכלית: בשנת 2026, האיום מבפנים יעבור מעובדים ממורמרים לעובדים המתפתים לתמריצים כספיים ישירים, כדי לספק גישה לפושעי סייבר. ככל שיוקר המחיה והלחצים הכלכליים גוברים, קבוצות פשע יציעו פרסים משמעותיים תמורת פרטי גישה לגיטימיים, במיוחד עבור מטרות ארגוניות בעלות ערך גבוה. התפיסה המסורתית של "גורם פנימי זדוני" כאדם בודד וממורמר מוחלפת במציאות מורכבת יותר: גורמים פנימיים בעלי מוטיבציה פיננסית, הפועלים לעתים בתיאום עם גורמי פשע סייבר מאורגן ומדינות לאום, יהפכו לווקטור סיכון עיקרי לפריצות.

 אריאל פיסצקי הוא מנמ"ר חברת סייברארק