כל שבוע מישהו שואל אותי מתי AI יחליף את הפנטסטרים

Read this article in English

הפוסט הזה הוא הקריאה שלי במחקר שפורסם על ידי Datadog Security Labs. הממצאים שלהם; הטענה על המשמעות שלהם היא שלי. שווה לקרוא את המחקר המקורי במלואו.

בכל שבוע מישהו שואל אותי מתי AI יחליף את הפנטסטרים. אז הנה, החבר׳ה מ-Datadog בדיוק שחררו כלי שמנסה לעשות בדיוק את זה.

הכלי נקרא SAIST – Static AI Security Testing. בגדול? זה SAST בלי rules. במקום engine שמחפש patterns בקוד, הכלי שולח את הקוד שלכם ל-LLM – Claude, GPT או Gemini – עם ה-API key שלכם, וה-AI מחפש חולשות. התוצאות חוזרות בפורמט SARIF, יש אינדוקס של כל הפרויקט בשביל context בין קבצים, ותמיכה כרגע ב-Java, Python ו-Go.

נשמע כמו העתיד? תכל׳ס, כן. אבל לא כמו שאתם חושבים.

כמה דברים ששווה לדעת לפני שמתלהבים

• הכלי עדיין ב-preview. כלומר גם Datadog עצמם עוד לא סומכים עליו בעיניים עצומות.
• אי אפשר להריץ אותו בלי חשבון Datadog, כי ה-detection rules יושבים אצלם בענן. כלי "open source" שלא עובד בלי ה-vendor זה מושג גמיש.
• הקוד שלכם נשלח ל-LLM חיצוני. תעצרו שנייה ותחשבו מה זה אומר על הקוד הכי רגיש בארגון.

והנה הנקודה שבאמת מעניינת אותי

אחרי יותר מ-20 שנה בתחום: הבעיה של סורקים אוטומטיים אף פעם לא הייתה ה-engine. הבעיה היא מה שהם לא מסוגלים לראות.

חולשות של business logic. בעיות authorization. flow שמאפשר למשתמש אחד לשלוף נתונים של משתמש אחר. בבקשות האלה אין שום דבר חריג – אין pattern לתפוס, כי הבקשה תקינה לחלוטין ולגיטימית לחלוטין. היא שגויה רק אם מבינים מה המערכת אמורה לעשות.

להחליף rules engine במודל שפה עושה את הסורק טוב יותר במה שסורקים כבר יודעים לעשות. זה לא מזיז את הגבול.

קשור: חולשת הרשאות ששום סורק לא יסמן, כי הבקשה תקינה לחלוטין.

פוסט זה פורסם לראשונה בלינקדאין בתאריך 2026-07-18. — ארז מטולה