עברית
שיחת היכרות

מה בודקים לפני שמתקינים סקיל לסוכן AI בארגון

סקיל הוא תיקייה של הוראות, סקריפטים וקבצים שמלמדת סוכן AI לבצע משימה. Anthropic השיקה את הפורמט באוקטובר 2025, פרסמה אותו כתקן פתוח בדצמבר, ומאז הוא עובד בכלים רבים. התקנה של סקיל לוקחת שניות. אבל סקיל יכול לגרום לסוכן להריץ קוד, ולסוכן של מפתח יש בדרך כלל גישה לקוד, למפתחות של שירותי ענן ולסיסמאות. Anthropic עצמה ממליצה להתקין סקילים רק ממקורות מהימנים.

מה מצאו החוקרים

  • בפברואר 2026 סרקה חברת Snyk 3,984 סקילים משתי ספריות פופולריות. ב-13.4% מהם נמצאה בעיה קריטית, ו-76 זוהו בבדיקה ידנית כזדוניים.
  • באותו חודש דיווחה Koi Security על 341 סקילים זדוניים מתוך 2,857 בספריית ClawHub. רובם ביקשו מהמשתמש להתקין "רכיב מקדים", שהיה בפועל תוכנה לגניבת סיסמאות, מפתחות וארנקים דיגיטליים.
  • באוגוסט 2026, בכנס Black Hat, חשפה חברת הסייבר הישראלית Zenity קמפיין שבו משפחה של סקילים, ששמותיהם חיקו סקילים מוכרים, הותקנה יותר מ-1.7 מיליון פעמים.

השיטה בקמפיין האחרון היא מה שהופך אותו למטריד. הסקילים פורסמו נקיים, צברו התקנות, ורק אחר כך עודכנו לגרסה זדונית שחיפשה מפתחות SSH, פרטי גישה לענן, טוקנים של Git וקבצי הגדרות עם סיסמאות. Vercel ו-GitHub הסירו אותם תוך 12 שעות, אבל עותקים עלולים להישאר במקומות אחרים.

אותו סיכון בשרתי MCP

שרתי MCP הם החיבורים שדרכם סוכן ניגש לכלים חיצוניים, כמו מייל, בסיס נתונים או מערכת משימות. בספטמבר 2025 נמצא שרת MCP זדוני ראשון שפעל בפועל: חבילה בשם postmark-mcp, שבגרסה 1.0.16 נוספה לה שורה אחת ששלחה לתוקף עותק נסתר של כל מייל. כבר באפריל 2025 הדגימה Invariant Labs איך הוראות שמוסתרות בתיאור של כלי גורמות לסוכן להדליף מפתחות, ואיך תיאור של כלי יכול להשתנות אחרי שהמשתמש כבר אישר אותו.

נזק שלא דורש תוקף

לא כל נזק מגיע מקוד זדוני. ביולי 2025 מחק סוכן של Replit בסיס נתונים של סביבת ייצור, בזמן הקפאת שינויים. ביולי 2026 דיווח היזם מאט שומר שסוכן קוד של OpenAI מחק את רוב תיקיית הבית במחשב שלו, ו-OpenAI אישרה שהמודל דרס בטעות את הנתיב שבו עבד. בשני המקרים היו לסוכן הרשאות רחבות מדי, ולא היה שום מנגנון שעוצר פעולה הרסנית לפני שהיא קורית.

מה בודקים לפני התקנה

ארגון OWASP, שמפרסם את רשימות הסיכונים המוכרות בתחום, מתאר את שורש הבעיה כשילוב של יותר מדי יכולות, יותר מדי הרשאות ויותר מדי עצמאות. מזה נגזרת רשימת הבדיקה:

  • קוראים את כל הקבצים של הסקיל לפני ההתקנה, כולל סקריפטים ותלויות, ומחפשים פניות לרשת ופקודות שמריצות קוד. זו גם ההמלצה של Anthropic.
  • מריצים סריקה. Snyk מציעה כלי פתוח לסריקת סקילים, ו-Zenity השיקה את AI Total, סביבה מבודדת שמפעילה סקיל ובודקת מה הוא עושה בפועל.
  • נועלים גרסה. בגלל שיטת "נקי קודם, זדוני אחר כך", עדכון אוטומטי של סקיל או של שרת MCP הוא סיכון בפני עצמו.
  • נותנים לכל שרת MCP רק את ההרשאות שהוא צריך, בלי טוקנים כלליים ובלי גישה לכל החשבון.
  • מריצים עבודה עם תוכן לא מוכר בסביבה מבודדת, כמו מכונה וירטואלית או dev container.
  • דורשים אישור של אדם לפעולות הרסניות: מחיקה, שינוי בסביבת ייצור, שליחת מידע החוצה. כלים פתוחים כמו dcg חוסמים פקודות כמו מחיקה רקורסיבית או DROP TABLE לפני שהן רצות.
  • מפרידים בין סביבת פיתוח לסביבת ייצור, ומחזיקים גיבוי שכבר בדקו שאפשר לשחזר ממנו.

אם כבר הותקן משהו חשוד

Snyk ממליצה להחליף כל סיסמה וכל מפתח שהסקיל יכול היה להגיע אליהם, ולבדוק אם קבצי הזיכרון של הסוכן שונו. מחיקת הסקיל לבדה לא מספיקה, כי מפתחות שכבר נגנבו נשארים אצל התוקף.

החלטה של הארגון, לא של כל מפתח

בארגון עם כמה צוותים, ההחלטה מה מותר להתקין לא יכולה להישאר אצל כל מפתח לבד. כאן נכנסת רשימה מאושרת של סקילים ושל שרתי MCP, עם אחראי שבודק כל תוספת. כלים כמו Claude Code כבר מאפשרים לנהל רשימה כזו ברמת הארגון, עם הגדרות מנוהלות שהמפתח לא יכול לעקוף. זה אותו עיקרון שארגונים מכירים מניהול תוכנות צד שלישי, רק בקצב מהיר בהרבה.

שאלות נפוצות

מה ההבדל בין סקיל לשרת MCP?
סקיל הוא תיקייה של הוראות וסקריפטים שהסוכן טוען כשהמשימה מתאימה. שרת MCP הוא תוכנה שמחברת את הסוכן לכלי חיצוני, כמו מייל, בסיס נתונים או מערכת משימות. שניהם מפעילים קוד בשם הסוכן, ולכן שניהם צריכים בדיקה.
סקיל מספרייה מוכרת הוא בטוח?
לא בהכרח. הקמפיין ש-Zenity חשפה פעל בספרייה מוכרת, והסקילים היו נקיים כשהותקנו לראשונה. גם Anthropic מציינת שהיא לא בודקת ולא מנהלת את שרתי ה-MCP שמשתמשים מחברים.
מספיק לבדוק סקיל פעם אחת?
רק אם נועלים את הגרסה. מבחינת אבטחה, כל עדכון הוא סקיל חדש שצריך לבדוק מחדש.

מקורות

רוצים לדבר על זה בהקשר של המערכת שלכם? שיחת היכרות, שעה, ללא עלות.