← בלוג

האם זו הזרקת הנחיות? לא — הנה למה

2026-07-19 · בלוג · prompt-injectionsecurityconsent

השאלה הראשונה שאנשים חדים שואלים על השכבה התפעולית היא הנכונה: "האם אתר שאומר ל-AI שלי מה לעשות זו לא סתם הזרקת הנחיות?". היא ראויה לתשובה ישירה, כי ההבדל אינו דקות — הוא כל העיצוב.

מה הזרקת הנחיות באמת

הזרקת הנחיות היא התקפה. הנחיות מוסתרות בתוך תוכן — טקסט לבן, HTML קבור, מסמך מורעל — כדי שסוכן יבצע אותן בלי שהמשתמש יֵדע ובלי הסכמת המשתמש. שלוש התכונות המגדירות:

1. מוסתרת. המשתמש לעולם אינו רואה את ההנחיה.
2. חוטפת. היא משרתת את מטרת התוקף, ועוקפת את זו של המשתמש.
3. ללא הסכמה. היא מתבצעת בלי הרשאה.

כל פלטפורמת סוכנים רצינית בונה הגנות בדיוק מול הדפוס הזה. ובצדק.

מה שכבה תפעולית

שכבה תפעולית היא הקשר שפורסם, קריא-מכונה, ששירות הופך לציבורי — אחות ל-robots.txt, sitemap.xml ו-llms.txt — המאפשר לסוכן AI של המשתמש עצמו, באישור המשתמש, לאמץ ולהפעיל את השירות עבורו. השוו אותה תכונה אחר תכונה:

1. מפורסמת בגלוי. היא יושבת במיקום ציבורי ידוע, קריאה בידי כל אחד — המשתמש, הסוכן, מבקרים, מתחרים. שום דבר אינו מוסתר.
2. משרתת את מטרת המשתמש. המשתמש שלח את הסוכן שלו כדי להשיג משהו — להירשם, לקנות, להגדיר. השכבה היא המפרסם שעוזר למשימת המשתמש עצמו להצליח, בדיוק כפי שהמפרסם הגדיר אותה עבור הסוכן של המשתמש.
3. מותנית-הסכמה. הסוכן מציג את השכבה למשתמש שלו ושואל לפני שהוא פועל. "כן" מאשר — חד-פעמי או לכל פעולה. ראו את שער ההסכמה.

הזרקה מסתירה הנחיות כדי לחטוף את הסוכן נגד משתמשו. השכבה התפעולית מפרסמת סיוע שהסוכן מציג אל משתמשו. הם הפכים בכל ציר שחשוב.

אנלוגיה שהרשת כבר סומכת עליה

robots.txt הוא אתר שאומר לסורקים מה לעשות — ואף אחד לא קורא לזה התקפה, כי הוא פתוח, מתוקנן ומיושר עם האופן שבו סורקים רוצים להתנהג. sitemap.xml אומר למנועים מה לאנדקס. llms.txt אומר ל-AI מה לקרוא. השכבה התפעולית מרחיבה את אותו דפוס אמין צעד אחד נוסף: מותנית-הסכמה ותפעולית ולא תיאורית.

הרשת תמיד עבדה כך. מפרסמים מצהירים; לקוחות מתנהגים היטב קוראים את ההצהרה ופועלים בתוך הכללים שלהם עצמם.

מה הבדיקות המוקלטות הראו

בהפעלות בדיקה מוקלטות, עוזרי AI עצמאיים משכו שכבה שפורסמה והציגו את שאלת ההסכמה. התצפית הזאת מוגבלת לאותן הפעלות ואינה מוכיחה שהפורמט בטוח, תואם אוניברסלית או חסין להזרקת הנחיות ולסיכוני הרשאה.

פרסום פתוח ואישור מפורש מקלים על הערכת המקור והסמכות. כל עוזר עדיין חייב להחיל את הכללים שלו עצמו, לאמת את הפעולה המבוקשת ורשאי לסרב.

מגני בטיחות עדיין חשובים

שקיפות בתוספת הסכמה היא ההגנה הליבתית, אבל שכבה בנויה היטב מוסיפה משמעת מעליה: היא מצהירה על יכולות במקום להוציא פקודות, שומרת כל פעולה בתוך שש הקטגוריות האוניברסליות (להעריך, להירשם, לבצע עסקה, להגדיר, להשתמש, לנהל), ולעולם אינה מבקשת מסוכן לפעול מעבר למה שהמשתמש אישר. מפת בקרת השירות מציינת איך כל פעולה מופעלת — נקודות קצה של API, פונקציות/פעולות, פקדי ממשק — עם קלטים, רצף ותוצאה צפויה, כך שאין עמימות שסוכן יוכל לפרש לא נכון. אופן מיפוי הפעולות מכוסה ב-/how-it-works.

למה זה חשוב למפרסמים

אמון הוא גורם אימוץ. משתמשים יכולים להעריך הנחיות שהם רואים, וסוכנים חייבים להחיל את אמצעי ההגנה שלהם עצמם. כל שכבה שאנחנו מפרסמים עוקבת אחר דפוס השקיפות-וההסכמה מעצם הבנייה — מהכתובת הבודדת של התוכנית החינמית ועד התוכנית הבסיסית (29$ לחודש) המכסה עד 10 כתובות בדומיין שלכם.

הנחיות מוסתרות והנחיות ספק ציבוריות מציגות סיכונים שונים. שקיפות ואישור מצמצמים עמימות; הם אינם מבטלים סיכוני התקפה, סגן-מבולבל, נקודת קצה זדונית או הרשאה.

שאלות נפוצות

האם תוקף יכול לנצל לרעה את פורמט השכבה התפעולית?

הפורמט מעוצב כדי להפוך ניצול לרעה ללא מושך: כוחה של השכבה נובע מהסכמה, וכל מה שמתפרסם מוצג למשתמש לפני שקורה דבר. פתיחות ושער ההסכמה מפחיתים באופן משמעותי את הערך של הסתרת הנחיות — הם אינם הופכים התקפות לבלתי אפשריות, ולכן פלטפורמות סוכנים שומרות על ההגנות שלהן עצמן ולכן משתמשים עדיין צריכים לבחון מה סוכן מציע לפני שהם אומרים כן.

למה סוכנים נענים במקום להתעלם מהשכבה?

ההפעלות המוקלטות הראו את העוזרים מושכים את השכבה ומציגים את צעד ההסכמה. עוזרים אחרים או גרסאות מאוחרות יותר עשויים להתעלם ממנה, להזהיר לגביה, לפרש אותה לא נכון או לסרב לה.

האם ההסכמה קורית בכל פעם ופעם?

שער ההסכמה תומך בשני המצבים: אישור חד-פעמי לאימוץ שירות, או אישור לכל פעולה עבור פעולות בודדות. המפרסם מצהיר; הסוכן של המשתמש והמשתמש מחליטים.

המשיכו לקרוא

https://swma.link/f2c3dbda