נקודות עיקריות
- לפי הטיוטה, על רבים מהמאגרים שמערכותיהם מבוססות בינה מלאכותית יחולו רמות אבטחה בינונית או גבוהה, בשל סוג והיקף המידע.
- מתקפות הסקה נועדו לחלץ מהמודל שרידי מידע אישי ששימש לאימון, והרשות מזכירה בהקשר זה גם model inversion ו-membership inference.
- הרשות הודיעה שבכוונתה לבחון החלה של רמת אבטחה גבוהה על מאגרים מסוימים שמבוססים על מערכות AI בסיכון גבוה, מכוח תקנה 20(א1).
- צמצום מידע הוא אמצעי ההגנה הראשון: מה שלא נכנס למודל לא יכול לדלוף ממנו.
תוכן עניינים
- מה הופך את אבטחת מערכות AI לשונה מאבטחת מאגר רגיל?
- מהן מתקפות הסקה ואיך הן עובדות?
- איזו רמת אבטחה חלה על מאגר מבוסס AI?
- איך מכניסים את סיכוני ה-AI למסמכי האבטחה?
- מתי מדווחים לרשות על מתקפה על מודל?
- תוכנית הגנה ב-7 צעדים
- שאלות ותשובות
אבטחת מערכות בינה מלאכותית היא ההגנה על המידע האישי שמשמש לאימון מודל, שמוזן אליו בשאילתות ושמופק ממנו בתשובות — מפני גישה, חילוץ או שימוש לא מורשים. המאמר עוסק במערכות AI שהארגון מפתח או מפעיל בעצמו: מודל חיזוי ללקוחות, צ׳אטבוט שמחובר ל-CRM, מערכת סינון קורות חיים או מנוע המלצות. על שימוש עובדים בכלים חיצוניים כמו ChatGPT כתבנו בנפרד, במדריך נוהל שימוש בכלי AI בארגון. למיפוי מערכות ה-AI בארגון מול חובות החוק אפשר להיעזר במערכת הציות של Privorify.
מה הופך את אבטחת מערכות AI לשונה מאבטחת מאגר רגיל?
במאגר רגיל המידע יושב בטבלאות וניתן להגן עליו בהרשאות ובהצפנה. במודל AI חלק מהמידע עלול להישאר טמון באלגוריתם עצמו, ותוקף יכול לנסות לחלץ אותו דרך שאלות בלבד, בלי לפרוץ למסד הנתונים.
טיוטת הנחיית הרשות להגנת הפרטיות ״תחולת הוראות חוק הגנת הפרטיות על מערכות בינה מלאכותית״, מ-28 באפריל 2025, קובעת שהסיכונים המיוחדים של AI מחייבים ״לנקוט זהירות יתרה״ בקיום חובת אבטחת המידע שבסעיף 17 לחוק ובתקנות. הדבר חל גם על ארגונים שמערכות הליבה שלהם מבוססות AI וגם על ארגונים שעובדיהם משתמשים בכלים חיצוניים. חשוב להדגיש: זו טיוטה שפורסמה להערות הציבור, אבל היא נשענת על חובות שכבר קיימות בחוק ובתקנות. לסקירה רחבה של ההנחיה ראו בינה מלאכותית והגנת הפרטיות: מה החוק דורש מעסקים.
מהן מתקפות הסקה ואיך הן עובדות?
מתקפות הסקה, בלשון הטיוטה, מיועדות ״לחלץ שרידי מידע אישי ניתן לזיהוי שנותרו באלגוריתם״, או לשחזר מידע ששימש לאימון המודל אבל לא היה אמור להישאר במערכת בשלב התפעולי. לצידן מזכירה הרשות מתקפות שנועדו לעקוף בקרות מפצות שקיימות במאגר.
| סוג המתקפה | מה התוקף מנסה להשיג | דוגמה |
|---|---|---|
| Membership inference | לגלות אם אדם מסוים היה חלק מנתוני האימון | להסיק שאדם טופל במרפאה מסוימת, רק מתגובות המודל |
| Model inversion | לשחזר מאפיינים של נתוני האימון מתוך הפלטים | להפיק פרטים אישיים שהמודל ״זכר״ במהלך האימון |
| Model evasion ועקיפת בקרות | לגרום למודל לפעול בניגוד למגבלות שהוגדרו לו | ניסוח שגורם לצ׳אטבוט לחשוף פרטי לקוח אחר |
את שלושת המונחים האנגליים מצטטת הטיוטה מפרסום של רשות הגנת המידע הצרפתית CNIL. בעולם המקצועי מקובל להוסיף לרשימה גם הזרקת הנחיות (Prompt Injection), שמופיעה בראש רשימת הסיכונים של OWASP למודלי שפה — ניסיון להטמיע הוראות זדוניות בתוך תוכן שהמודל קורא. זו מסגרת מקצועית מקובלת, לא דרישה חוקית, אבל היא עוזרת למפות את הסיכונים שעליהם התקנות מחייבות לתת מענה.
איזו רמת אבטחה חלה על מאגר מבוסס AI?
רמת האבטחה נקבעת לפי התוספות לתקנות אבטחת המידע, ולפי הטיוטה על רבים מהמאגרים מבוססי ה-AI יחולו הרמה הבינונית או הגבוהה, בשל סוג והיקף המידע, זהות בעל השליטה ומספר מורשי הגישה.
הרשות אף הצהירה בטיוטה שבכוונתה לבחון, מכוח סמכותה לפי תקנה 20(א1), אם יש הצדקה להחיל רמת אבטחה גבוהה על מאגרים מסוימים שמערכותיהם מבוססות על בינה מלאכותית בסיכון גבוה. המשמעות המעשית: מי שמפעיל מערכת AI על מידע בעל רגישות מיוחדת צריך להניח שהוא ברמה הבינונית לפחות, ולבדוק ברצינות את סף הרמה הגבוהה. איך קובעים את הרמה צעד אחר צעד מסביר המדריך תקנות אבטחת מידע: איך קובעים את רמת האבטחה.
איך מכניסים את סיכוני ה-AI למסמכי האבטחה?
הטיוטה מפרטת שלושה מקומות שבהם צריך לתת מענה קונקרטי למתקפות על מודלים: מסמך הגדרות המאגר, סקר הסיכונים ומבדקי החדירות, וניטור שוטף עם דיווח לרשות.
- מסמך הגדרות המאגר (תקנה 2(א)): תיאור הסיכונים ואופן ההתמודדות עמם, עם התייחסות מפורשת להשלכות השימוש במערכות AI. ראו מה חייב להיכלל במסמך הגדרות המאגר.
- סקר סיכונים ומבדקי חדירות (תקנה 5): הכללת תרחישי מתקפה על המודל עצמו, לא רק על השרתים שמסביבו. על מחזורי הסקר ראו סקר סיכונים ומבדק חדירות: מי חייב וכל כמה זמן.
- ניטור שוטף: מעקב אחר מתקפות הסקה על מאגרי הארגון, למשל זיהוי דפוסי שאילתות חריגים בלוגים.
לצד אלה מדגישה הטיוטה את עקרון צמצום המידע שבתקנה 2(ג), המחייבת לבחון פעם בשנה אם נשמר מידע עודף. בהקשר של AI המשמעות היא לשאול אילו שדות באמת נחוצים לאימון, ולשקול טכנולוגיות משפרות פרטיות שהרשות פירטה במדריך נפרד. ראו טכנולוגיות משפרות פרטיות (PETs) במערכות AI.
מתי מדווחים לרשות על מתקפה על מודל?
לפי הטיוטה, מתקפת הסקה שגורמת לאירוע אבטחה חמור מחייבת דיווח מיידי לרשות להגנת הפרטיות, כנדרש לפי תקנה 11 לתקנות אבטחת המידע. מבחינת הדין, חילוץ מידע אישי דרך המודל דומה לכל חדירה אחרת למאגר.
אותו היגיון מופיע בטיוטה גם לגבי כריית מידע אסורה: אתר שממנו נכרה מידע אישי ללא הרשאה עלול לעמוד בפני אירוע אבטחה חמור שיש לדווח עליו. על סוגיה זו כתבנו במדריך כריית מידע (Scraping) לאימון AI. מה עושים בשעות הראשונות שאחרי הגילוי מפורט במדריך לטיפול באירוע אבטחת מידע ודיווח לרשות.
תוכנית הגנה ב-7 צעדים
הצעדים הבאים משלבים את דרישות הטיוטה עם פרקטיקות אבטחה מקובלות. הם נועדו לארגון שמפעיל מודל על מידע אישי של לקוחות או עובדים.
- מיפוי: רשימת כל מערכות ה-AI, אילו נתונים נכנסו לאימון ואילו נכנסים בשאילתות.
- סיווג רמת אבטחה: לפי סוג והיקף המידע ומספר מורשי הגישה.
- צמצום: הסרת שדות מזהים שאינם נחוצים, ושקילת טכנולוגיות משפרות פרטיות.
- עדכון מסמכים: סעיף AI ייעודי במסמך ההגדרות ובנוהל האבטחה.
- בדיקות: תרחישי הסקה והזרקת הנחיות בסקר הסיכונים ובמבדק החדירות.
- בקרות גישה: הרשאות לפי תפקיד, תיעוד שאילתות, והגבלת קצב שאילתות למניעת ניסיונות חילוץ מסיביים.
- תהליך אירוע: הגדרה מראש מה נחשב מתקפה על מודל, מי מחליט על חומרתה ומי מדווח לרשות.
סיכום
- מערכת AI עם מידע אישי כפופה לסעיף 17 ולתקנות אבטחת המידע כמו כל מאגר.
- מתקפות הסקה צריכות לקבל מענה מפורש במסמך ההגדרות, בסקר הסיכונים ובניטור.
- מתקפה שגורמת לאירוע חמור מחייבת דיווח מיידי לרשות.
שאלות ותשובות
מה זו מתקפת הסקה על מודל בינה מלאכותית?
מתקפה שמנסה לחלץ מהמודל שרידי מידע אישי ששימש לאימונו, או לגלות אם אדם מסוים היה בנתוני האימון, רק מתוך שאלות ותשובות. הרשות להגנת הפרטיות מזכירה בהקשר זה את model inversion ו-membership inference.
האם תקנות אבטחת המידע חלות על מערכת AI?
כן, כשהמערכת מעבדת מידע אישי במאגר מידע. לפי טיוטת הרשות מאפריל 2025, הסיכונים המיוחדים של AI מחייבים זהירות יתרה בקיום סעיף 17 לחוק ותקנות אבטחת המידע.
האם מאגר מבוסס AI חייב ברמת אבטחה גבוהה?
לא אוטומטית. הרמה נקבעת לפי התוספות לתקנות. לפי הטיוטה, על רבים ממאגרים אלה יחולו רמות בינונית או גבוהה, והרשות בוחנת החלת רמה גבוהה על מאגרים מסוימים שמבוססים על AI בסיכון גבוה.
האם צריך לדווח לרשות על מתקפה על מודל AI?
לפי הטיוטה, מתקפה שגורמת לאירוע אבטחה חמור מחייבת דיווח מיידי לרשות להגנת הפרטיות, כנדרש לפי תקנה 11 לתקנות אבטחת המידע.
מה הדרך הטובה ביותר לצמצם את הסיכון במודל?
צמצום מידע. מידע שלא נכנס לאימון לא יכול להיחלץ מהמודל. הטיוטה מדגישה את תקנה 2(ג), שמחייבת לבדוק פעם בשנה אם נשמר מידע עודף, והרשות ממליצה גם על טכנולוגיות משפרות פרטיות.
לקריאה נוספת ומקורות
- הרשות להגנת הפרטיות — טיוטת הנחיה: תחולת הוראות חוק הגנת הפרטיות על מערכות בינה מלאכותית (28.4.2025), פרק 9: אבטחת מידע
- OWASP — Top 10 for Large Language Model Applications
המידע במאמר זה הוא כללי ואינו מהווה ייעוץ משפטי. לפני קבלת החלטות יש להיוועץ בבעל מקצוע מוסמך.
