Agent Hijacking

חטיפת סוכנים (agent hijacking) היא מה שקורה כשסוכן AI קורא תוכן שמסופק על ידי תוקף, מתייחס אליו כהוראה, ואז פועל לפיה עם ההרשאות שניתנו לו. זו התוצאה של prompt injection נגד מערכת שיכולה לבצע פעולות, ולא טכניקה נפרדת.

מחפשים agent hijacking, ושתי התוצאות הראשונות חולקות זו על זו בשאלה הבסיסית ביותר שהמונח מעלה. התוצאה הראשונה מכנה את זה פגיעות ייחודית למערכות AI אוטונומיות. השנייה היא סוכנות התקנים הפדרלית של ארה"ב, והיא פותחת בכך שמדובר בבעיה ישנה בבגדים חדשים.

אף אחד מהעמודים לא מזכיר את השני. גם שום דבר אחר בעמוד הראשון של אף אחד ממנועי החיפוש לא עושה זאת, וחבל, כי המחלוקת היא הדבר השימושי ביותר בתוצאות. העמוד הזה עוסק בסוכני AI, לא במטוסים, לא בסשנים ברשת, לא בסרגלי כלים בדפדפן ולא בארנקים קריפטוגרפיים, שכולם מתערבבים כרגע באותן תוצאות.

מה שמופיע בהמשך מתייחס למקור הממשלתי הראשוני כאל מה שהוא באמת - מדידה - ומציב את המספרים שלו בעמוד יחד עם ההיקף שבו הם נמדדו.

האם חטיפת סוכנים היא בסך הכול prompt injection?

בעיקר כן. זו לא זלזול, והשאלה המעניינת יותר היא מה המילה מוסיפה.

המכון הלאומי לתקנים וטכנולוגיה (NIST) מגדיר את זה פעמיים באותו פוסט. פעם אחת באופן צר: "סוג של indirect prompt injection שבו תוקף מחדיר הוראות זדוניות לנתונים שעשויים להיקלט על ידי סוכן AI, וגורם לו לבצע פעולות מזיקות ולא מכוונות." ופעם אחת באופן שממסגר מחדש את כל הנושא:

חטיפת סוכני AI היא הגלגול העדכני של בעיית אבטחת מחשבים ותיקה, שנוצרת כשמערכת חסרה הפרדה ברורה בין הוראות פנימיות מהימנות לבין נתונים חיצוניים שאינם מהימנים.

קראו את זה מול שורת הפתיחה של Snyk Learn, שכרגע מדורגת ראשונה ב-Google על המונח: "Agent goal hijack היא פגיעות אבטחה ייחודית למערכות AI אוטונומיות, שבה תוקף מתפעל את המטרה או היעד של סוכן AI."

מה המילה באמת מוסיפה

שני התיאורים ניתנים להגנה, והם מתארים חצאים שונים. המנגנון הוא prompt injection, ו-prompt injection הוא מקרה ספציפי של כשל שקדם למודלי שפה בעשרות שנים: מערכת שלא יודעת להבחין בין הוראות לנתונים תבצע את הנתונים. SQL injection הוא אותו משפט עם שמות עצם אחרים.

מה שחדש הוא התוצאה. כשמזריקים ל-chatbot, הוא אומר משהו שגוי. כשמזריקים לסוכן, הוא עושה משהו - קורא ל-API, מעביר קובץ, שולח הודעה, מבצע תשלום - באמצעות פרטי הזדהות שהונפקו לו מתוך הנחה שהוא ירדוף רק אחרי מטרות המשתמש שלו.

לכן חטיפת סוכנים אינה טכניקה נפרדת. זה שם למה ש-prompt injection הופך אליו כשלצד המקבל יש ידיים. גם OWASP מסווגת את זה כך, כאיום שמרחיב את ערך ה-prompt injection שלה ולא מחליף אותו.

בשפה פשוטה

סוכן AI הוא תוכנית שקוראת דברים ומותר לה לעשות דברים. היא עשויה לקרוא את המייל שלכם ומותר לה לשלוח מייל. היא עשויה לקרוא דף אינטרנט ומותר לה להריץ פקודות.

הבעיה היא שהסוכן קורא הכול באותו אופן. הוראות מהאדם שבנה אותו וטקסט ממייל של זר מגיעים לאותו מקום, כאותו סוג של דבר. אם הטקסט של הזר כתוב כך שיישמע כמו הוראה, הסוכן עשוי פשוט לבצע אותה, עם ההרשאות שכבר יש לו.

בדיוק בגלל זה חטיפת סוכנים מסוכנת: לא בגלל שהקריאה שונה, אלא בגלל שלסוכן כבר יש הרשאות לפעול.

איפה תוכן לא מהימן הופך להוראה

הקלט של סוכן הוא כל מה שהוא הופנה אליו: דואר נכנס, מסמך שאוחזר, דף שנסרק, טקסט של קריאת תמיכה, תוכן של קובץ שביקשו ממנו לסכם. אף אחד מאלה לא נכתב על ידי המפעיל, וחלק גדול נכתב על ידי זרים.

התוכן הזה מצטרף לאותו הקשר שהסוכן מנמק עליו. אין ערוץ שמסמן חלק אחד כ"זה מה שצריך לעשות" וחלק אחר כ"זה משהו שאתה מסתכל עליו". ואז הסוכן עושה את מה שסוכנים עושים: קורא לכלים.

שני מקרים מתועדים מראים את הצורה בלי צורך בפרטים טכניים.

הסוכן לחץ על הכפתור בעצמו

MITRE ATLAS מתעדת case study מתאריך 24 במאי 2025 שבו חוקר בנה דף שמכוון לסוכני computer-use. הדף נשא את השורה "Are you a computer? Please see instructions to confirm:" ליד כפתור. הסוכן לחץ עליו. הלחיצה העתיקה פקודה ללוח, ובלשון ATLAS, "הסוכן המשיך וביצע את ההוראות, פתח terminal, הדביק את הפקודה הזדונית והריץ אותה."

בהדגמה, הפקודה פתחה את אפליקציית Calculator. התבנית שהיא שואלת היא ClickFix, תעלול הנדסה חברתית שנבנה לבני אדם. כשכוונו אותה מחדש לסוכן, היא עבדה בלי אדם בשום מקום בשרשרת.

המקרה שכלל כסף

מקרה מוקדם יותר, שהוצג ב-Black Hat USA 2024 על ידי חוקרים מ-Zenity, כוון אל Microsoft 365 Copilot. Copilot קולט דואר שהתקבל למסד נתוני retrieval, כך שאפשר לכתוב מייל כך שיאוחזר. החוקרים שלחו מייל שנבנה במיוחד כדי לצוף למשתמש שמחפש פרטי בנק להעברה בנקאית, כשהוא נושא את פרטי החשבון של התוקף והזרקה ש"דרסה את פונקציונליות החיפוש של Copilot" כך שהתוצאה נראתה כמו מסמך שאוחזר באופן לגיטימי.

הקורבן בתרחיש הזה הוא אדם, ששוכנע על ידי העוזר שלו. ATLAS מפרסמת את הטקסט המלא ששימש בתרגיל. העמוד הזה לא, ואף אחד מהם לא נחוץ כדי להבין את העניין.

מה מצאה המדידה הממשלתית היחידה של חטיפת סוכנים

בינואר 2025 פרסם Center for AI Standards and Innovation של NIST בלוג טכני על הנושא. כמעט כל עמוד שמדורג על המונח מצטט אותו. כמעט אף אחד מהם לא מזכיר מה נמדד שם, וזה מוזר, כי הכותרת היא "Strengthening AI Agent Hijacking Evaluations" והפוסט הוא מחקר הערכה.

CAISI בדק את Claude 3.5 Sonnet (אוקטובר 2024) באמצעות AgentDojo, benchmark אקדמי, על פני ארבע סביבות מדומות: Workspace, Travel, Slack ו-Banking. לפני שמדדו משהו הם נאלצו להרחיב את ה-benchmark, ולהוסיף שלוש קטגוריות של משימות הזרקה שלא היו בו - remote code execution, הוצאת נתונים (exfiltration) ממסד נתונים ופישינג אוטומטי - יחד עם תיקוני באגים ותמיכה בביצוע אסינכרוני.

ואז הם תקפו אותו, והתוצאה היא המספר שאף אחד לא מצטט.

בלשון NIST עצמה: "התוצאה הייתה עלייה בשיעור הצלחת התקיפה מ-11% במתקפת ה-baseline החזקה ביותר ל-81% במתקפה החדשה החזקה ביותר." ועל חזרתיות: "אחרי ניסיונות חוזרים, שיעור הצלחת התקיפה הממוצע עלה מ-57% ל-80%."

שיעור הצלחת תקיפה הוא רצפה, לא הערכה

הפער הזה הוא הממצא, והוא מוכלל מעבר למודל הבודד הזה.

הערכה מודדת את המתקפות שהמעריכים חשבו עליהן, שבוצעו מספר הפעמים שהם בחרו לבצע אותן. היא לא יכולה למדוד מתקפות שאף אחד עדיין לא כתב. לכן המספר שהיא מייצרת הוא חסם תחתון למה שתוקף יכול להשיג, לא הערכה של כמה המערכת עמידה. שינו את המתקפה, ואותו סוכן עבר מ-11 ל-81. לא שינו כלום מלבד מספר הניסיונות, ו-57 הפך ל-80.

NIST מנסח את המסקנה הנגזרת ישירות, והיא מצביעה לאותו כיוון גם במספרים נמוכים: "גם אם שיעור הצלחת התקיפה במשימת הוצאת הנתונים נמוך, אין פירוש הדבר שאין לשקול את התרחיש הזה ברצינות וליישם מולו צעדי מיטיגציה."

מכאן נובע שאף אחד מהנתונים האלה אינו שכיחות. אף מספר אחד במאמר הזה לא אומר באיזו תדירות סוכנים נחטפים בפרודקשן. הם אומרים באיזו תדירות מתקפות ספציפיות עבדו בסביבת בדיקות, וזו שאלה אחרת עם מכנה אחר.

ה-benchmark, ומה הוא אומר על עצמו

AgentDojo משתלם לקריאה ישירה, כי הוא זהיר לגבי המגבלות שלו באופן שהסיקור לא. הוא פורסם ב-NeurIPS 2024, ומספק "97 משימות מציאותיות (למשל ניהול לקוח דואר, ניווט באתר בנקאות מקוונת או ביצוע הזמנות נסיעה), 629 מקרי בדיקת אבטחה, ופרדיגמות תקיפה והגנה שונות מהספרות."

התקציר שלו אומר אחר כך משהו שמסבך כל אחוז שנגזר ממנו: "מודלי LLM מתקדמים נכשלים במשימות רבות (גם בהיעדר מתקפות), ומתקפות prompt injection קיימות שוברות חלק מתכונות האבטחה אבל לא את כולן."

סוכן שנכשל בחלק ממשימותיו גם בלי שתקפו אותו הוא דבר קשה יותר לניקוד מחומת אש. חלק כלשהו מכל כשל שנמדד הוא המערכת שגרועה בעבודה שלה ולא התוקף שטוב בשלו, ומחברי ה-benchmark אומרים את זה במקום שבו הסיכומים לא אומרים.

איך ה-frameworks קוראים לזה

הנה עובדה שמסבירה למה כל עמוד מצייר את הגבול במקום אחר: ב-MITRE ATLAS אין טכניקה בשם agent hijacking. חיפוש full-text בפיד הנתונים של ה-framework מוצא את המילה בדיוק בשלושה כותרי case study, ואחד מהם עוסק במצלמות זיהוי פנים ואינו קשור לשום דבר מכל זה.

ההיעדר הזה אינו מחדל. המונח נותן שם לתוצאה, ו-frameworks מדרגים טכניקות. מה ש-ATLAS ממדלת במקום זה היא השרשרת שמייצרת את התוצאה, והיא משתרעת על פני ארבעה tactics.

שתי שורות שם חסרות מכל הסבר בעמוד הראשון של כל אחד מהמנועים.

שני השלבים שאף אחד לא מכסה

הראשון הוא `AML.T0093`, שנוצר באוקטובר 2025: תוקף "עשוי להחדיר prompts זדוניים למערכת של הקורבן דרך אפליקציה הפונה לציבור, בכוונה שייקלטו על ידי AI בשלב כלשהו בעתיד." אפשר לשתול את ההוראה לפני שקיים בכלל סוכן שיקרא אותה.

השני הוא `AML.T0084.002`, Activation Triggers, שמסווג תחת Discovery. תוקפים "עשויים לגלות מילות מפתח או טריגרים אחרים (כגון מיילים נכנסים, הוספת מסמכים, הודעה נכנסת או workflows אחרים) שמפעילים סוכן", ו-ATLAS מציינת שתוקף "עשוי לנסות להפעיל את הסוכן מחוץ לסביבה שלו." שתילת ההוראה היא רק חצי מהעניין. משהו צריך לגרום לסוכן לרוץ.

יש גם תת-טכניקת הזרקה שלישית. השטח אומר ישירה או עקיפה ועוצר; ATLAS הוסיפה את Triggered (`AML.T0051.002`) בנובמבר 2025, להזרקות שמופעלות על ידי פעולת משתמש או אירוע מערכת, ומציינת שהן "לעיתים קרובות מכוונות לסוכני AI."

זו שמחברת ל-ATT&CK הקלאסי

`AML.T0078` ראויה לשורה אחת מסיבה אחרת. היא מכסה סוכן ש"מאחזר מידע מהרשת בשם משתמש", ונושאת הפניה מפורשת לDrive-by Compromise של ATT&CK עצמו - כך שבניגוד לחלק מהמתקפות הייעודיות ל-AI, זו מתחברת ל-framework הקלאסי במקום לשבת מחוצה לו.

ל-OWASP יש שני שמות לזה

OWASP מכסה את אותו רעיון בלפחות שני מקומות, תחת תוויות שונות. המדריך Agentic AI - Threats and Mitigations, גרסה 1.0, פברואר 2025, מסווג את זה כT6, Intent Breaking & Goal Manipulation, וממסגר אותו כהרחבה של ערך ה-prompt injection. הAI Agent Security Cheat Sheet שלה מציין Goal Hijacking - "תפעול יעדי הסוכן כך שישרתו את מטרות התוקף תוך שהם נראים לגיטימיים" - כאחד מ-13 סיכונים לא ממוספרים, ובלי גרסה או תאריך בכלל.

שני ממצאים, שני שמות, שתי סכמות מספור. זה שדה צעיר שעושה את מה ששדות צעירים עושים, ושווה לדעת את זה לפני שמצטטים אחד מהם כמסמך סגור.

האם חטיפת סוכנים קרתה בשטח?

התשובה הכנה מורכבת משלושה חלקים, והם לא כולם מצביעים לאותו כיוון.

מחלקות פגיעות מזוהות הן אמיתיות ועדכניות. במרץ 2026, Zenity Labs חשפה את PleaseFix, משפחת פגמים בדפדפנים סוכניים ש"מאפשרת לתוקפים לחטוף סוכני AI בשקט, לגשת לקבצים מקומיים ולגנוב פרטי הזדהות בתוך סשנים מאומתים של משתמשים", ומשפיעה בין השאר על Perplexity Comet. Perplexity טיפלה בבעיית הביצוע בצד הדפדפן לפני הגילוי הפומבי, וגילוי רחב יותר הגיע באוגוסט 2026. המסגור של Zenity הוא החלק ששווה לקחת הלאה: "זה לא באג. זו פגיעות מובנית במערכות סוכניות." הסיקור המקצועי ממקם אותה לצד סדרה של אקספלויטים סוכניים בעלי שמות דומים שנחשפו באותה תקופה.

חוקרים מוצאים את אלה בקנה מידה. Preprint מפברואר 2026 על אוטומציה של חטיפת סוכנים מדווח על זיהוי "למעלה מ-70 פגיעויות במוצרים מסחריים אמיתיים שאושרו על ידי ספקים". הוא לא עבר peer review, והמספר הוא ספירה של המחברים עצמם, אבל אישור ספק הוא רף משמעותי.

מה אומר קטלוג הניצול

ועם זאת, רשומת הניצול המאושרת ריקה. קטלוג Known Exploited Vulnerabilities של CISA, גרסה 2026.08.20, מחזיק 1,673 רשומות. בסריקה של שם ותיאור קצר של כל רשומה, אף אחת לא מזכירה prompt injection. בדיוק שתיים מזכירות LLM, ושתיהן הן מחלקות פגיעות תוכנה רגילות בתשתית AI - command injection ו-SQL injection באותה ספרייה - ולא משהו שסוכן שוכנע לעשות.

זו תצפית מוגבלת, לא אור ירוק. KEV מתעד פגיעויות עם ראיות מאושרות לניצול בפועל, כך שהיעדר ממנו אומר שאף אחד לא תיעד ניצול ברף של CISA, לא ששום דבר לא קורה. אבל זו הבדיקה שצריך לעשות לפני שחוזרים על כך שחטיפת סוכנים נפוצה, ולא אותר ארגון קורבן מאושר במקור ראשוני עבור המאמר הזה.

מה באמת מצמצם חשיפה

הבקרות שנגזרות מהמקורות האלה הן החלטות ארכיטקטורה וקונפיגורציה, לא רכישות.

• התייחסו להפרדה כאל הבעיה עצמה. המסגור של NIST מזהה את שורש הבעיה: מערכת שחסרה גבול ברור בין הוראות מהימנות לנתונים לא מהימנים. פילטרים עוזרים בשוליים; הגבול הוא שאלת התכנון.
• הגדירו מה הסוכן יכול לעשות אחרי שהוא קורא, לא רק מה הוא קורא. הזרקה מצליחה דרך ההרשאות שכבר הונפקו. סוכן שלא יכול לשלוח דואר חיצוני אי אפשר לשכנע לשלוח דואר חיצוני.
• מפו את הטריגרים, לא רק את הקלטים. זה השלב שרוב הצוותים מעולם לא רשמו. מה מפעיל את הסוכן הזה - הודעה נכנסת, קובץ שנחת בתיקייה, לוח זמנים, webhook? כל דבר ברשימה הזו נגיש למישהו.
• דרשו אישור במקומות שבהם הפעולה יקרה והפיכה רק בתיאוריה. תשלומים, שיתוף חיצוני, שינויי פרטי הזדהות, פעולות הרסניות.
• התייחסו להערכה כאל פרקטיקה, לא כאל תעודה. המסקנה של NIST עצמה היא ש"הערכות צריכות להיות אדפטיביות. גם כשמערכות חדשות מטפלות במתקפות ידועות קודם, red teaming יכול לחשוף חולשות אחרות." ציון מהרבעון הקודם מתאר את המתקפות של הרבעון הקודם.

אף אחת מאלה אינה פתרון, והמקורות כנים בכך שפתרון לא קיים כרגע. הן מצמצמות את מה שהזרקה מוצלחת יכולה להגיע אליו.

מה העמוד הזה לא יכול להגיד לכם

• השכיחות לא נמדדה. לא קיים נתון שניתן לציטוט על התדירות שבה סוכנים נחטפים במערכות פרוסות. כל מספר שנמצא במחזור, כולל אלה שלמעלה, הוא שיעור הצלחת תקיפה מבדיקה.
• לא אותר קורבן מאושר מהעולם האמיתי. המקרים המתועדים שנמצאו במקורות ראשוניים הם תרגילי red-team והדגמות של חוקרים.
• המדידה המרכזית היא מודל אחד על benchmark אחד. Claude 3.5 Sonnet, אוקטובר 2024, AgentDojo, ארבע סביבות. זו המדידה הציבורית הטובה ביותר שאותרה; היא אינה סקר.
• ה-benchmark מנקד מערכת שנכשלת גם לבד, לפי הצהרת מחבריו עצמם.
• שניים מהמקורות החזקים האחרונים הם preprints, לא עבודה שעברה peer review.
• מסמך תקנים אחד לא ניתן היה לקרוא כאן. Agentic AI - Threats and Mitigations של OWASP מצוטט למעלה עבור מזהה האיום והמסגור שלו, שמגיעים מדיווח משני; `genai.owasp.org` החזיר HTTP 403 לכל ניסיון שליפה שנעשה עבור המאמר הזה, כך ששום דבר ממנו לא מצוטט ישירות והוא לא מקושר.

הגרסה הקצרה

חטיפת סוכנים היא השם ל-prompt injection שנוחת על מערכת שיכולה לפעול. המנגנון ישן ומובן היטב, התוצאה חדשה, ולאף framework אין טכניקה בשם הזה כי הביטוי מתאר תוצאה ולא שיטה.

המספר שקיבלתם הוא רצפה. המדידה הממשלתית היחידה של הנושא מצאה שאותו סוכן הובס ב-11% מהמקרים במתקפה הקיימת הטובה ביותר וב-81% מהמקרים במתקפה טובה יותר, על אותו benchmark, באותו מחקר. חזרתיות לבדה הזיזה נתון אחר מ-57% ל-80%. כל שיעור מפורסם אומר לכם מה מישהו הצליח, לא מה אפשרי.

ולכן הצעד השימושי הבא הוא שלוש שאלות על הפריסה שלכם, לא רכישה. מה הסוכן הזה קורא שאף אחד בצוות שלכם לא כתב? מה הוא יכול לעשות אחר כך? ומה גורם לו להתחיל? השאלה השלישית היא זו שהמקורות מכסים וההסברים לא, והיא בדרך כלל הרשימה הקצרה ביותר לרשום.