Wiz מציגה סוכני אבטחה אוטונומיים לצוותי הגנה

רוב צוותי ה-SOC מתחילים לחקור כאשר מופעלת התרעת איום. אנליסטים מבצעים מיון (triage) להתראה, מחברים את ההקשר ומתחילים בחקירה – הכל לאחר שמשהו כבר קרה. המודל הזה נבנה עבור עולם שבו תוקפים פעלו במהירות אנושית והסתמכו בעיקר על אקספלויטים מוכרים.

זה כבר לא המצב. שני שינויים מתרחשים בו-זמנית, ושניהם משנים את שגרת העבודה של ה-SOC:

• ארגונים מפיצים יותר קוד מותאם אישית מאי פעם: פיתוח בסיוע AI אומר שצוותים בונים יישומי AI מותאמים אישית במהירות חסרת תקדים. יישומים אלה עלולים להכיל פגיעויות לוגיות, כגון הרשאה פגומה ועקיפת אימות, שבלתי אפשרי לזהות באמצעות סורקים מבוססי חתימות.

• תוקפים משתמשים ב-AI כדי לנוע מהר יותר: יריבים משתמשים במודלי AI מתקדמים כדי לסרוק את ההיקף (perimeter), למצוא יישומים חשופים ולנצל פגיעויות תוך שעות במקום חודשים. ה-AI גם מוריד את חסמי הכניסה, כך שיותר תוקפים יכולים לחקור יישומים מותאמים אישית לאיתור חולשות, בקנה מידה רחב מאי פעם.

עבור ה-SOC, זה אומר שהסימן הראשון לפגם לוגי הוא לעיתים קרובות הפרצה עצמה. עד שהזיהוי מופעל, התוקף כבר השלים את שרשרת התקיפה שלו פנימה.

הגנה במהירות אנושית אינה יכולה לעמוד בקצב של התקפות המבוססות על AI. הדרך היחידה לעמוד בקצב היא להשתמש ב-AI כדי להילחם ב-AI: מצא את הדלת הפתוחה לפני שתוקף עובר דרכה, וחקור במהירות של AI כאשר מישהו מנסה זאת. זה קריטי לתגובה לאירועים בעידן ה-AI ומבטיח שה-SOC יוכל לפעול במהירות הנדרשת כדי להגן על הארגון.

אבטחה פרואקטיבית שייכת ל-⁦SOC⁩

ניהול חשיפה יזום ומתמשך לאיומים (CTEM) בשילוב עם בדיקות התקפיות ישלוט בפעולות ה-SOC, שכן זיהוי תגובתי מניב עלייה אקספוננציאלית בתשואות פוחתות. (דוח Gartner: The Security Operations Roadmap to 2030, מאת Kevin Schmidt, Alex Tytarenko ואחרים, אוקטובר 2026. Gartner הוא סימן מסחרי של Gartner, Inc. ו/או שלוחותיה).

עבור ה-SOC, זה אומר להתייחס לחשיפות מאומתות שניתן לנצל כפי שהן באמת: נתיבי תקיפה שהוכחו כניתנים לניצול. הן דורשות את אותה דחיפות של איום פעיל, כי בעידן ה-AI, זה רק עניין של זמן עד שתוקפים ימצאו אותן.

זהו תפקידם של שני סוכני Wiz העובדים יחד:

• ה-Red Agent, התוקף המבוסס על AI שלנו, שמוצא ומאמת ללא הרף סיכונים ניתנים לניצול על פני שטח התקיפה שלך, ומעביר אותם כהתראות ברמת SOC עוד לפני פריצה.

• ה-Blue Agent, החוקר המבוסס על AI שלנו, שעובד לצד אנליסטים כדי לחקור איומים פעילים עם הקשר מלא של ענן, קוד וזמן ריצה, ולהגיע להכרעה בטוחה במהירות.

Red Agent: התראות לפני פריצה שה-SOC שלך יכול לסמוך עליהן

ה-Red Agent הוא פנטסטר מבוסס AI המאפשר לצוותים לחשוף סיכונים מורכבים ומאומתים שניתן לנצל, ולהסיר אותם לפני שתוקפים ימצאו אותם, במהירות המכונה. הוא עובד לצד Wiz ASM כדי לכסות את כל סוגי הסיכונים – מסיכונים ידועים, כגון CVEs ותצורות שגויות, ועד לסיכונים לא ידועים מבוססי לוגיקה ביישומים מותאמים אישית, כמו עקיפת הרשאות שסורקים מבוססי חתימות מחמיצים.

כל סיכון מאומת שניתן לניצול שמוצא ה-Red Agent הוא פצצת זמן מתקתקת. ה-Red Agent כבר הוכיח שהאקספלויט עובד, כך שהשאלה הפתוחה היחידה היא מי יגיע לשם קודם: הצוות שלך או תוקף. זה דורש דחיפות של "לפני פריצה", ולא מקום בתור המשימות לתיקון פגיעויות.

כל ממצא מגיע עם הוכחת ניצול, שלבי שחזור, הקשר של רדיוס הפגיעה מתוך ה-Security Graph, והנחיות ברורות לבעלים ולתיקון מה-Green Agent. במקום להמתין לזיהוי, צוותים יכולים לסגור את נתיב התקיפה מראש ולהגיב לפחות אירועים.

מה שהכי מדהים ב-Red Agent הוא הדרך שבה אנו יכולים לעקוב ולקבל התראות או נראות על נקודות קצה שניתן לתקוף או לתמרן מבחוץ. הוא אומר לי: 'יש לך כאן נקודת קצה, חסר אימות, יש לך חשיפה'. כל התובנות האלה באמת עוזרות לי לסגור פערים במהירות. Roy Weiss, Principal DevSecOps, Fireblocks.

איך נראית התראת SOC לפני פריצה

בממצא אחד מסדרת ה-POV של ה-Red Agent שלנו, ה-Red Agent מצא דרך לגישה ל-API של ענן ייצור בחברת שירותים פיננסיים ללא אימות, תוך חשיפת אישורי ענן פעילים וקוד המקור המלא של האפליקציה.

ללא ה-Red Agent, ה-SOC עשוי היה ללמוד על הסיכון הזה רק כאשר נעשה שימוש באישורים הללו ממיקום לא מוכר, ורק אז להתחיל לחקור במה נגע התוקף. עם ה-Red Agent, ה-SOC יכול לפעול לפני שתוקף מוצא את הפרצה ולסגור את הדלת לפני שהיא מתחילה.

ספר המהלכים (Playbook) שלפני פריצה

כאשר ה-Red Agent מוצא סיכון מאומת שניתן לניצול, הנה ספר מהלכים שה-SOC יכול לעקוב אחריו. השלבים ייראו מוכרים מתהליכי תגובה לאירועים, אך הם מתרחשים לפני פריצה במקום אחריה. כך זה עובד בדוגמה הזו:

1. מיון (Triage): כבר בוצע. ה-Red Agent הוכיח שהנתיב ניתן לניצול ומספק שלבי שחזור. אין ויכוח בסגנון "האם זה אמיתי?".

2. היקף (Scope): האם מישהו כבר השתמש בנתיב הזה? ציידי איומים בודקים אם תוקף אמיתי הגיע לשם קודם. במקרה זה, המשמעות היא להניח שכן ולחפש כל שימוש באישורים החשופים ממקורות לא צפויים.

3. בלימה (Contain): הצב פתרון זמני. רענן את האישורים והגבל את נקודת הקצה. זה קונה זמן עד לתיקון הקבוע.

4. העברה (Hand off): ה-Green Agent מנתב את התיקון. הוא מזהה מי הבעלים של האפליקציה המושפעת ושולח להם הנחיות תיקון ספציפיות, כך שאף אחד לא צריך לחפש את הבעלים.

5. אימות (Verify): אשר שהנתיב סגור. ברגע שהבעלים מיישם את התיקון, ה-Red Agent בודק מחדש את אותו סיכון כדי לוודא שהוא כבר לא ניתן לניצול.

Blue Agent: חקירת AI לאיומים פעילים

התראות יזומות מצמצמות את שטח התקיפה, אך אף SOC לא יכול לסגור כל דלת באופן מיידי. כאשר איום הוא פעיל, ה-Blue Agent לוקח על עצמו את שלבי החקירה הידניים שגוזלים בדרך כלל את זמנו של האנליסט: האם הפעילות הזו לגיטימית, מבחן אבטחה או התקפה? מהו רדיוס הפגיעה? האם פעולות הבלימה שלנו עבדו?

ה-Blue Agent חורג מעבר למיון ברמת השטח. הוא מרכז הקשר מתוך ה-Security Graph, נראות מקוד-לענן ואותות זמן ריצה, וחוקר באופן שבו מגיב לאירועים מיומן היה פועל. סוכני משנה מיוחדים עונים על שאלות שאנליסטים היו עונים אחרת באופן ידני. לדוגמה, סוכן המשנה לפורנזיקה מנתח ראיות שנלכדו בזמן הזיהוי על ידי ה-Wiz Sensor כדי לחשוף את סיבת השורש לפעילות החשודה ולנתח מה רץ בפועל על המכונה.

ה-Blue Agent מציג את עבודתו: השאלות ששאל, הנתונים ששלף וכיצד כל אות עיצב את ההכרעה. זה מבטיח שהאנליסטים יישארו בשליטה ויוכלו לסמוך על ההכרעה שהתקבלה. בעזרת Wiz Workflows, צוותים יכולים להפוך הכרעות לפעולה, להסלים אוטומטית אירועים, להודיע לצוותי תגובה או להפעיל ספרי מהלכי בלימה על סמך רמת ההכרעה ורמת האמון.

אבטחה סוכנית (Agentic security) עבור ה-SOC: תחילה יזום, תמיד הגנתי.

זיהוי הוא עדיין חשוב, אך הוא לא אמור להיות הפעם הראשונה שבה אתה שומע על סיכון קריטי, מאומת וניתן לניצול. עם ה-Red Agent וה-Blue Agent, ל-SOC שלך יש AI בשני צידי הקרב.

התחל להשתמש ב-Red Agent וב-Blue Agent, קרא את סדרת הבלוגים על ה-POV של ה-Red Agent וה-Blue Agent, או תאם הדגמה חיה עם הצוות שלנו.

המשך לקרוא

"Black October" עבור פלטפורמות מפתחי AI

סדרה של התקפות סוכניות (agentic attacks) על פלטפורמות מפתחי AI הובילה ל-LLMJacking בקנה מידה רחב.

תובנות מרכזיות: דוח סקר מוכנות לאיומי AI לשנת 2026

ממצאי אמת מידה מרכזיים בנושא Shadow AI, סיכוני תזמור (orchestration) וההכרח במודל הגנתי של AI נגד AI.

עלייתן של ההתקפות הסוכניות: איך הן נראות ולאן הן הולכות

סוכני AI משנים את האופן שבו תוקפים פועלים. חקור מקרים אמיתיים של התקפות סוכניות, למד כיצד לזהות את טביעות האצבע שלהן וגלה מה המשמעות שלהן עבור עתיד אבטחת הסייבר.