הגליון המאה תשעים ואחד של DigitalWhisper שוחרר!


ברוכים הבאים לדברי הפתיחה של הגליון ה-191 של DigitalWhisper!
 
ככל הנראה, אחת האשליות הגדולות ביותר שאנחנו נולדים לתוכן, היא זו שאנחנו מרכזו של העולם. לא מתוך יהירות או אגו, אלא פשוט מפני שזו כנראה הדרך היחידה שבה אנחנו מסוגלים לחוות את המציאות בתור ילדים. הכול קורה לנו, סביבנו, ביחס אלינו. רובנו נולדים אל תוך עולם שבו, בשנים הראשונות לחיינו ההורים והסביבה שלנו מקדישים את רב מרצם כדי שנוכל להתקיים. הכאב שלנו הוא הכאב הגדול ביותר, הפחדים הכי קטנים שלנו מקבלים התייחסות משמעותית, וכל האנשים שאנחנו אוהבים נדמים כאילו נועדו להיות שם כדי שלנו יהיה הכי נוח שאפשר.
 
כילדים, קשה לנו לדמיין מציאות שבה אנחנו לא נמצאים במרכז, בדיוק כפי שמשחר האנושות ועד קופרניקוס שפיתח את המודל ההליוציוני, במשך אלפי שנים המין האנושי התקשה לדמיין יקום שבו כדור הארץ אינו נמצא במרכזו, או שהשמש שלנו אינה הכוכב היחיד שסביבו חגות פלנטות. יש משהו מנחם בתפיסה הזאת: היא מעניקה לנו מקום ברור, קבוע, כמעט מובטח, בתוך מציאות עצומה, מבולגנת ולא מובנת.
 
אולם, עם השנים, הן בחיינו האישיים והן בהיסטוריה האנושית, מתחילה המגמה האיטית החוצה מהמרכז. תחילה אנחנו מגלים שלאנשים שאנחנו אוהבים יש עולמות שלמים שאינם קשורים אלינו: שההורים שלנו היו בני אדם עוד לפני שנולדנו, ושגם אחרי שנעזוב את החדר, השיחה תימשך בלעדינו. במקביל, המדע מתחיל להזיז אותנו ממקומנו ביקום: הבנו שאנחנו לא מרכזה של מערכת השמש, ושלא רק שאנחנו סובבים את השמש, אפילו היא לא מרכז היקום. ולאט לאט  אנחנו מפנים את המבט החוצה, אל עבר היקום, ומתבהרת אצלנו ההבנה שהוא מכיל מספר בלתי נתפס של גלקסיות שגם בחלומות הפרועים ביותר של המדע אין שום סיכוי שנוכל להגיע אליהן. בכל פעם אנחנו מגלים שהעולם גדול מכפי שהאמנו, ושאנחנו קטנים מכפי שדמיינו. נראה שההתבגרות, היא בין היתר, התהליך שבו אנחנו לומדים לוותר על מקומנו במרכז.
 
התבגרות היא תהליך מפחיד, לעיתים אפילו מעט כואב. וזה אכן כך, לאנושות התהליך הזה היה כל כך מפחיד, עד שהכנסייה הקתולית שרפה את האסטרונום ג'ורדנו ברונו (שתמך במודל של קופרניקוס ואף שכלל אותו), רדפה את גלילאו גליליי (שתמך גם הוא במודל ואף הביא ראיות לכך בעזרת טלסקופ שבנה), ואסרה את כתביו של קופרניקוס עצמו (שהוא עצמו לא נרדף, שכן חיבוריו פורסמו רק לאחר מותו). אך עם כל הפחד, בכל זאת, יש משהו משחרר בגילוי כזה. נדרשת מידה מסוימת של אומץ על מנת לוותר על הרעיון שהמציאות סובבת סביבנו, אך בעשותנו כך, אנו מאפשרים לעצמנו להתחיל להביט במציאות כפי שהיא, אובייקטיבית, גם כשלה אין שום סיבה מיוחדת להתחשב בנו.
 
השיעור הזה בולט מאוד בעולם הטכנולוגיה ואבטחת המידע. במשך שנים אנחנו בונים מערכות מתוך הנחה שאנחנו מבינים כיצד הן פועלות, מי ישתמש בהן, ואילו גבולות יגדירו את השימוש בהן. אנחנו מתכננים מנגנוני הגנה, מנסחים מודלים של איומים, כותבים קוד ומנסים לצמצם את המציאות למספר סביר של תרחישים שאפשר להיערך אליהם. אבל אז מגיע מישהו שמוצא דרך שלא חשבנו עליה, חולשה שמסתתרת במקום שנראה לנו מובן מאליו, או שימוש בלתי צפוי בכלי שתכננו למטרה אחרת לחלוטין.
 
לפעמים מדובר בטעות קטנה, לפעמים בהנחת יסוד שגויה, ולפעמים פשוט במישהו שהסתכל על אותה מערכת בדיוק, אך מנקודת מבט אחרת משלנו. במובן הזה, חוקר אבטחה טוב נדרש לא רק להבין כיצד מערכת עובדת, אלא גם להיות מסוגל להניח לרגע בצד את ההבנה הזאת ולשאול את עצמו כיצד היא יכולה להיכשל. הוא צריך להפסיק להאמין שהמפה שבנה בראשו היא השטח עצמו, ולהיות מוכן לגלות שהמציאות מורכבת, יצירתית ומפתיעה הרבה יותר מכל מודל שהצליח לנסח.
 
קופרניקוס לא שינה את מקומו של כדור הארץ ביקום, הוא שינה את האופן שבו אנחנו מבינים את מקומנו ביקום. וכיום המדע חוקר את היקום דווקא מתוך הנחת "העיקרון הקוסמולוגי" - שגורס כי היקום נראה אותו הדבר מכל כיוון שבו נסתכל עליו, אין כיוון מועדף או שונה מהותית במבנה שלו. במציאות שבה אנו המרכז, אין פנאי למחקר ואין סיבה לאמץ זוויות מבט שונות משלנו. ואולי זו גם אחת הסיבות שבגללן אנחנו ממשיכים לחקור, לכתוב ולשתף ידע: כל מאמר שאנחנו מפרסמים, כל חולשה שאנחנו חושפים וכל רעיון שאנחנו משתפים עם אחרים הם הזדמנות לבחון מחדש משהו שחשבנו שאנחנו מכירים. הם מאפשרים לנו לגלות לא רק דברים חדשים על המערכות שאנחנו חוקרים, אלא גם את הגבולות של ההבנה שלנו עצמנו. לפעמים התהליך הזה מלמד אותנו כיצד לתקוף מערכת, לפעמים כיצד להגן עליה, ולפעמים הוא פשוט מזכיר לנו עד כמה מעט ידענו מלכתחילה. במובן הזה, מחקר הוא לא רק הדרך שלנו להרחיב את הידע, אלא גם הדרך שלנו ללמוד להטיל ספק במה שאנחנו כבר יודעים.
 
בעולם שבו הטכנולוגיה משתנה כהרף עין, ומהר מכפי שאנחנו מספיקים להתרגל אליה, היכולת להטיל ספק בהנחות שלנו חשובה לא פחות מהיכולת לצבור ידע. היא מחייבת אותנו להקשיב לאנשים שחושבים אחרת מאיתנו, לבחון רעיונות שמאתגרים את מה שאנחנו מאמינים בו, ולהיות מוכנים להודות שלפעמים דווקא מי שרואה את הדברים אחרת הוא זה שמבחין במה שאנחנו פספסנו. אולי זו המשמעות האמיתית של היציאה מהמרכז: לא לוותר על המקום שלנו בעולם, אלא להבין שהמבט שלנו, חשוב ככל שיהיה, הוא תמיד רק מבט אחד מתוך רבים. וככל שנלמד לראות מעבר לו, כך נגלה שהעולם גדול, מורכב ומעניין הרבה יותר מכפי שחשבנו.
 
 
 
וכמובן, לפני שניגש לתוכן הגליון, נרצה להגיד תודה לכל מי שישב והשקיע מזמנו וכתב לנו מאמר החודש. תודה לגל ראובני, תודה לשמוליק כהן, תודה לברק שטרנברג, תודה לנבו פורן ותודה לאבישי גונן!

 
החודש, הגליון כולל את המאמרים הבאים:
  • שוברים את קטאן - מאת גל ראובני
    המשחק "מתיישבי קטאן" הוא אחד מהמשחקים הנחקרים ביותר באקדמיה, במיוחד בתחומי תורת המשחקים, כלכלה ובעיקר היום ב-AI, וכל זאת בעיקר בשל השילוב הייחודי של ניהול משאבים מוגבלים, משא ומתן והסתברות. המשחק נחקר מספר פעמים באוניברסיטאות. במאמר זה בוחן גל את בעיית הצבת הכלים על המפה ודרכו מסביר כיצד ניתן לקבל פתרון פשוט ומהיר ללא שימוש ב-Brute force.
  • הצייד והמכונה: גילוי חולשות ו-Bug Bounty בעזרתAI Agents - מאת שמוליק כהן
    במאמר זה משתף שמוליק כיצד הוא עובד עם AI Agents במטרה למצוא חולשות, גם בקוד פתוח וגם בתוכניות Bug Bounty. חלק ממצאיו הובילו להודעות אבטחה רשמיות ולתגמולים כספיים (Bounties), ואחרים הסתיימו בתיקון של הקוד ותו לא. לצד הדוגמאות מסביר שמוליק כיצד הוא מסנן רעש, מזהה טענות לא מבוססות ודיווחי AI באיכות נמוכה (AI Slop), ומחליט מה באמת שווה דיווח. מטרת המאמר היא להציג צעד אחר צעד כיצד כל אחד יכול להתחיל לעשות זאת בעצמו.
  • Agentjacking: השתלטות על סוכני קוד באמצעות דיווחי שגיאה מזויפים - מאת ברק שטרנברג ונבו פורן
    ביוני השנה, כחלק ממחקר סביבות AI שנעשה ב-Tenet Security, צוות חוקרים פיתח והדגים סוג התקפה חדש בשם Agentjacking, כזה שמשתלט על סוכני קוד מבוססי AI ומריץ דרכם קוד של התוקף על המכונה של המפתח. כל מה שצריך כדי להפעיל את השרשרת הוא דיווח שגיאה מזויף אחד, וההתקפה נשארת מתחת לרדאר של כל מנגנון אבטחה. במסגרת המחקר נמצאו 2,388 ארגונים חשופים. בבדיקות מבוקרות נצפה כי יותר מ-100 סוכנים פועלים לפי שגיאות שהוזרקו, כולל הרצה מאומתת בארגוני Fortune 500 (ובכללן חברת Fortune 100) ועד מפתחים עצמאיים. במאמר זה צוות המחקר יציג כיצד עשה זאת.
  • מדריך מעשי למציאת IDOR בעולם האמיתי - מאת אבישי גונן
    כשאנשים חושבים על פריצה לאפליקציות, הם לרוב מדמיינים תרחישים מורכבים - ניצול של חולשות 0day, כלים מתוחכמים וטכניקות מורכבות, חודשים של עבודה. המציאות, לפחות בעולם של Broken Access Control, נפוצה ומדאיגה הרבה יותר: לפעמים השרת פשוט לא בודק אם המשאב ששלחת בקשה עליו - שייך לך. Broken Access Control הוא אחד מהממצאים הנפוצים ביותר בדוחות אבטחה, ועלה לראש רשימת ה-OWASP Top 10 משנת 2021. הסיבה פשוטה: קל לממש Authentication קשה יותר לממש Authorization. במאמר הזה עובר אבישי צעד אחר צעד על תהליך בדיקת אפליקציית מובייל ישראלית לשירותי משלוחים, ומראה כיצד נקודת עיוורון אחת בצד השרת הובילה לשרשרת ממצאים: גניבת כתובות, גניבת טוקן כרטיס אשראי, ודלף מידע אישי מלא. אבל הסיפור האמיתי מתגלה רק בסוף - כי לא מדובר באפליקציה אחת. המאמר הזה מיועד גם כמדריך מעשי כך שגם קוראים שמעולם לא חקרו אפליקציות מובייל יוכלו לעקוב ולנסות בעצמם.

  

 
 
  קריאה נעימה,
                 אפיק קסטיאל



תגובות על 'הגליון המאה תשעים ואחד של DigitalWhisper שוחרר!':



#1 

דני (אורח):
אין הגהה על המאמרים? כואבות לי העיניים מלקרוא את המאמר על קטאן - "שני דרכים", "שתי קלפים"...
31.10.2026 14:43:42



הוסף את תגובתך:
כינוי:
תגובה:
קוד אבטחה:
העתק לכאן את הקוד:
 
Digital Whisper © 2009 - 2026 - כל הזכויות שמורות ל-אפיק קסטיאל ול-ניר אדר.