‏”אבל ביקשנו מה-AI קוד מאובטח”: חמש דקות, שלוש חולשות

לפני כמה שבועות פנה אליי לקוח ותיק שעובד איתי שנים, להתייעץ על משהו בהקשר של אבטחה במערכת שלהם. עכשו הוא מנהל פיתוח מחברת סטארטאפ חמודה.
הוא אומר לי בהתלהבות: "עברנו לפיתוח עם AI. זה פשוט מטורף – אנחנו כותבים פרומפט, מקבלים קוד, ובונים פי חמש יותר מהר את המערכת שלנו!"
אני מחייך – כי שמעתי את זה לא מעט בזמן האחרון.

אני שואל: "ומה עם אבטחה?"
הוא אומר: "ברור שזה בסדר, הרי המודל מכיר הכי טוב את ה-Best Practices, לא?"
(רמז: לא תמיד.)

הם נותנים לי דוגמה לקוד שכתב ה-AI – API קטן שמתחבר ל-DB, מנהל משתמשים. תוך 5 דקות אני מוצא:

SQL Injection קלאסי כי הפרמטר נכנס ישירות לשאילתה.

Endpoint שמחזיר נתוני משתמשים בלי בדיקת הרשאות אמיתית.

Token JWT שנוצר בלי Expiration בכלל.

המנהל מסתכל עליי ואומר: "אבל ביקשנו 'קוד מאובטח' בפרומפט…"
ופה מגיעה האמת הפשוטה:
מודל AI לא "מבין" אבטחה. הוא לא יודע מה באמת מסוכן במערכת שלך.
הוא יודע לחקות קוד שנראה נכון מבחוץ, לא לחשוב כמו תוקף.

AI זה כלי מטורף. הוא מאיץ פיתוח, הוא מעלה רעיונות, הוא סוגר פינות מעצבנות. אבל קוד בטוח עדיין דורש אנשים שחיים אבטחה – כאלה שיודעים לשאול את השאלות הנכונות, לראות את מה שהעין הרגילה מפספסת.

מוסר השכל: אם תיתן ל-AI את כל הפיתוח בלי עין אנושית שמבינה secure coding – אתה לא מפתח מהר יותר, אתה פשוט מפתח מהר יותר את הפרצות שלך.

פוסט זה פורסם לראשונה בלינקדאין בתאריך 2025-08-11. — ארז מטולה