אבטחת מידע ו-AI: איך להגן על עצמכם

אבטחת מידע ו-AI: איך להגן על עצמכם בעידן הבינה המלאכותית

בינה מלאכותית מביאה איתה הזדמנויות עצומות — אבל גם סיכוני אבטחה חדשים שלא היו קיימים בעבר. מ-deepfakes שמחקים את הקול והפנים שלכם, דרך מתקפות פישינג מתוחכמות שנכתבו על ידי AI, ועד לסכנה שמידע רגיש שלכם ישמש לאימון מודלים — האיומים הם אמיתיים ונוגעים לכל אחד. במאמר זה נפרט מה כלי AI שומרים עליכם, כיצד להגן על עצמכם, ומהם 10 כללי הזהב לאבטחה בעידן ה-AI.

מה הצ'אטבוטים שומרים עליכם — ואיך לבדוק

כשאתם משוחחים עם ChatGPT, Claude, או Gemini, המידע שאתם משתפים מאוחסן. השאלה היא: איפה, לכמה זמן, ולאיזו מטרה?

ChatGPT (OpenAI)

כברירת מחדל, OpenAI שומרת את השיחות ומשתמשת בהן לאימון מודלים. ניתן לכבות זאת: Settings → Data Controls → "Improve the model for everyone" → Off. בנוסף, ניתן להפעיל "Temporary Chat" שלא נשמר כלל. משתמשי ChatGPT Team, Enterprise, ו-API אינם משמשים לאימון כברירת מחדל.

Claude (Anthropic)

Anthropic לא משתמשת בשיחות לאימון כברירת מחדל. שיחות נשמרות למשך 90 יום למטרות בטיחות ופיקוח, ולאחר מכן נמחקות. משתמשי API וצוותים מקבלים הגנות נוספות.

Google Gemini

Google שומרת שיחות ומשתמשת בהן לשיפור שירותים. ניתן לשלוט ב-Gemini Apps Activity דרך הגדרות חשבון Google: myactivity.google.com → Gemini Apps → פעילות → כבו או מחקו. שימו לב: גם אם כיביתם, Google שומרת מידע מסוים למשך 72 שעות.

מה לבדוק בכל כלי AI חדש

• האם המידע שלכם משמש לאימון? חפשו בהגדרות אפשרות opt-out.
• היכן המידע מאוחסן? (ארה"ב, אירופה, ענן ציבורי)
• למי יש גישה למידע? (עובדי החברה, שותפים, ממשלות)
• כמה זמן המידע נשמר?
• האם ניתן למחוק את ההיסטוריה?

מה לא לשתף עם AI — לעולם

עם כל הנוחות של כלי AI, יש מידע שאסור להזין לשום צ'אטבוט, אפילו לא לגרסאות Enterprise:

• סיסמאות ופרטי התחברות: לעולם אל תבקשו מ-AI "לזכור" סיסמה או לנתח סיסמה קיימת.
• מספרי כרטיסי אשראי ופרטי בנק: גם אם אתם רוצים עזרה עם בירור חיוב.
• מספרי תעודת זהות, דרכון, או ביטוח לאומי: מידע מזהה אישי (PII) לא שייך בצ'אט.
• מידע רפואי רגיש: אבחנות, תוצאות בדיקות, מרשמים. במיוחד אם ניתן לזהות את המטופל.
• סודות מסחריים: קוד מקור רגיש, תוכניות אסטרטגיות, מידע פיננסי פנימי, רשימות לקוחות.
• מידע משפטי חסוי: פרטי תיקים, ייעוץ משפטי, חומרי חקירה.
• תמונות אינטימיות: של עצמכם או של אחרים. גם אם זה "רק לניתוח".

כלל אצבע: אם לא הייתם שולחים את המידע הזה באימייל לא מוצפן לזר, אל תשתפו אותו עם AI.

Deepfakes: הסכנה שנמצאת כבר כאן

מה זה deepfake?

Deepfake הוא תוכן סינתטי — וידאו, אודיו, או תמונה — שנוצר על ידי AI ונראה או נשמע כמו אדם אמיתי. הטכנולוגיה הגיעה לרמה שבה קשה מאוד להבדיל בין אמיתי למזויף בעין בלתי מזוינת.

סוגי מתקפות deepfake

• שכפול קול: מספיקות 15 שניות של הקלטת קול כדי ליצור שכפול משכנע. עושי הפרצות משתמשים בזה לשיחות טלפון — "אמא, זה אני, אני צריך כסף דחוף." בישראל דווחו על מקרים רבים.
• החלפת פנים: הצבת פנים של אדם אחד על גוף של אחר בסרטון. משמש להונאות ולפורנוגרפיית נקמה.
• וידאו מזויף: סרטון מלא שבו אדם "אומר" דברים שמעולם לא אמר. משמש לדיסאינפורמציה פוליטית.
• הונאות עסקיות: מקרה מפורסם: עובד בחברה בהונג קונג העביר 25 מיליון דולר אחרי שיחת וידאו עם "סמנכ"ל הכספים" שהתגלה כ-deepfake.

כיצד לזהות deepfakes

• תנועות לא טבעיות: מצמוץ מוזר, תנועת שפתיים לא מסונכרנת, ידיים מוזרות.
• עקביות: שינויים בתאורה, ברקע, או בגוון העור לאורך הסרטון.
• אודיו: טון חד-גוני, חוסר רעשי רקע טבעיים, הפסקות לא טבעיות.
• הקשר: האם הבקשה הגיונית? האם האדם באמת היה יוצר איתכם קשר ככה?
• אימות: בספק? התקשרו לאדם ישירות במספר שאתם מכירים (לא במספר שהתקשר אליכם).

כלי זיהוי deepfake

Reality Defender — פלטפורמה ארגונית שמנתחת תוכן בזמן אמת ומזהה deepfakes באודיו ווידאו. Sensity AI — כלי שמנתח תמונות וסרטונים ומזהה מניפולציות. Microsoft Video Authenticator — כלי חינמי של מיקרוסופט שנותן ציון אמינות לסרטונים. Hive Moderation — API שמזהה תוכן שנוצר ב-AI כולל טקסט, תמונות, ווידאו.

פישינג מבוסס AI: האיום החדש

AI הפך את מתקפות הפישינג לממוקדות ומשכנעות יותר מאי פעם. במקום מיילים עם שגיאות כתיב שקל לזהות, AI כותב מיילי פישינג מושלמים — בעברית תקנית, עם התאמה אישית לנמען.

דוגמאות למתקפות AI

• Spear Phishing מותאם: AI סורק את הפרופיל שלכם ב-LinkedIn ובפייסבוק, ויוצר מייל שמתייחס לפרויקט שאתם עובדים עליו או לכנס שהשתתפתם בו.
• CEO Fraud משודרג: מייל "מהמנכ"ל" שנכתב בדיוק בסגנון שלו, עם התייחסות לפגישה אמיתית שהתקיימה.
• SMS ו-WhatsApp: הודעות "מהבנק" או "מהדואר" בעברית מושלמת עם קישורים זדוניים.

כיצד לזהות

• בדקו את כתובת השולח בקפידה (לא רק את השם המוצג).
• אל תלחצו על קישורים — גשו ישירות לאתר הרלוונטי.
• בקשה דחופה להעברת כסף? תמיד אמתו בטלפון.
• שימו לב לפרטים: האם יש לוגו תקין? האם ה-URL נכון? האם ה-SSL תקין?

Enterprise vs Consumer: מה עסקים צריכים לדעת

יש הבדל משמעותי בין שימוש אישי ב-AI לבין שימוש עסקי:

המלצה לעסקים ישראליים: אם אתם עסק שמעבד מידע של לקוחות, עובדים, או מידע עסקי רגיש — השתמשו בתוכניות Enterprise. העלות הנוספת (כ-100-200 ש"ח למשתמש לחודש) זניחה לעומת הסיכון של דליפת מידע.

חוק הגנת הפרטיות הישראלי ו-AI

חוק הגנת הפרטיות, תשמ"א-1981, ותקנות אבטחת המידע שנכנסו לתוקף ב-2018, חלים גם על שימוש ב-AI:

• מאגרי מידע: אם אתם שומרים מידע אישי במערכת AI (למשל, נתוני לקוחות ב-CRM עם AI), ייתכן שהמאגר חייב ברישום.
• הסכמה: שימוש במידע אישי לאימון AI דורש הסכמה — מפורשת או מכללא, בהתאם לנסיבות.
• העברה לחו"ל: העלאת מידע אישי לכלי AI שהשרתים שלהם בחו"ל מהווה "העברת מידע לחו"ל" — יש לוודא שמדינת היעד מספקת הגנה נאותה.
• אבטחה: תקנות אבטחת המידע דורשות אמצעי הגנה מתאימים — כולל בכלי AI שמשמשים את העסק.
• הזכות למחיקה: אזרחים ישראליים זכאים לדרוש מחיקת מידע אישי — כולל ממערכות AI.

רשות הגנת הפרטיות פרסמה המלצות ספציפיות לגבי AI, שמדגישות שקיפות, מידתיות, ושליטה של הפרט במידע שלו.

10 כללי זהב לאבטחה בעידן ה-AI

1. כבו אימון נתונים: בכל כלי AI שאתם משתמשים בו, חפשו את ההגדרה שמונעת שימוש בנתונים שלכם לאימון.
2. אל תשתפו PII: מידע מזהה אישי (שם, ת"ז, כתובת, טלפון של אחרים) לא שייך בצ'אטבוט.
3. אמתו deepfakes: קיבלתם שיחה או הודעה חריגה? אמתו ישירות מול האדם האמיתי.
4. השתמשו ב-Enterprise לעסקים: אל תשתמשו בחשבון אישי למידע עסקי רגיש.
5. עדכנו סיסמאות: השתמשו ב-2FA בכל חשבון AI. סיסמה ייחודית לכל שירות.
6. קראו מדיניות פרטיות: לפני שאתם מזינים מידע לכלי חדש, בדקו מה החברה עושה עם הנתונים.
7. הדריכו עובדים: ודאו שכל העובדים יודעים מה מותר ומה אסור לשתף עם AI.
8. גבו תוכן: אל תסמכו על AI כמאגר מידע יחיד. שמרו עותקים של כל מה שחשוב.
9. היו סקפטיים: תוכן שנוצר ב-AI — טקסט, תמונות, וידאו — עלול להיות מזויף. אמתו מקורות.
10. עקבו אחר חדשות אבטחה: איומי AI מתפתחים במהירות. הישארו מעודכנים.

סיכום

AI הוא כלי עוצמתי — ועוצמה דורשת אחריות. הסיכונים הם אמיתיים: deepfakes, פישינג מתוחכם, דליפות מידע, ופגיעה בפרטיות. אבל עם מודעות, כלים נכונים, והרגלים טובים, אפשר ליהנות מכל היתרונות של AI תוך שמירה על אבטחת המידע שלכם. הכלל הכי חשוב: אם משהו נראה חשוד — אמתו. בעידן ה-AI, הספק הבריא הוא קו ההגנה הראשון שלכם.