ממדריך משותף לעמית: מה זה אומר כש-AI פועל באופן אוטונומי

סקירה מחקרית על המעבר ממנועי הצעות לעמיתים אוטונומיים. למה זה קורה עכשיו, מה נשבר במעבר, ואיך לפרוס מבלי למסור את כל המפתחות.

עידן ה-copilot הגיע לתקרת זכוכית

ב-15 באפריל 2026, סם אלטמן פרסם ב-X ש-OpenAI משיקים "עדכוני Codex השבוע עם דגש על צוותים וחברות גדולות".

התשובות היו חושפניות. על כל מפתח ששאל על מפת הדרכים, היה אחר ששאל שאלה קשה יותר: למה Codex עדיין צריך אותי שישגיח עליו? שישה חודשים קודם לכן, חוקרי BeyondTrust פרסמו הוכחת היתכנות שהראתה כי שם ענף Git שנבנה במיוחד יכול להטעות את Codex ולגרום לו להדליף את אסימון ה-GitHub של המשתמש. מדריך משותף שניתן להטעות אותו להדליף אסימון דרך שם ענף הוא לא עמית. הוא נשק טעון עם נצרה.

המתח הזה נמצא מתחת לכל שיחה על AI ארגוני ב-2026. ה-copilots הגיעו לתקרת הביצועים שלהם, והמספרים מדברים:

יוזמת NANDA של MIT דיווחה ב-2025 כי 95% מניסויי AI גנרטיבי נכשלים לספק ערך עסקי מדיד.
מחקר RAND שצוטט שוב ושוב ב-Reddit r/ArtificialIntelligence בתחילת 2026 מצא כי 80 עד 90% מפרויקטי סוכני AI נכשלים בסביבות ייצור.
שיעורי קבלה של מפתחים ל-GitHub Copilot התייצבו סביב 35 עד 40%, בעוד Cursor עומד על 42 עד 45% ו-Claude Code קיבל דירוג 46% "הכי אהוב" בסקר קידוד AI של 2026. מהפך מדהים לכלי שהושק רק במאי 2025.
סאטיה נאדלה לכאורה כינה את השקת Copilot הפנימית של מיקרוסופט "כמעט בלתי שמיש" בסוף 2025, והחברה הכריזה על מה שמנהלים תיארו כ"איפוס בסיכון גבוה" למוצר.
מחקר arXiv שפורסם בסוף 2025 מצא כי השלמה אוטומטית בסגנון Copilot דווקא הגבירה תסכול בקרב מפתחים מנוסים, כי היא קטעה את הזרימה שלהם עם הצעות שנראו סבירות אך היו שגויות בעדינות.

התקרה אינה כישלון של המודלים עצמם. זו כישלון של דפוס האינטראקציה. Copilot פועל ברמת ההקלדה או השאלה הבודדת. עמית פועל ברמת תהליך העבודה. Bits&Chips ניסחו זאת היטב במאמר מאפריל 2026 "מ-copilot לעמית": "Copilot פועל ברמת האינטראקציה הבודדת, בעוד סוכן פועל ברמת תהליך העבודה. זה חשוב, כי ברוב הארגונים צוואר הבקבוק אינו המשימה הבודדת, אלא התיאום בין משימות."

זהו השינוי שארגונים מנסים לבצע כעת. באופן לא אחיד, לא מושלם, ובקנה מידה משמעותי.

ספקטרום האוטונומיה

"סוכן" הפך למילת שיווק, אז בואו נפרט. יש ארבע רמות אוטונומיה ב-AI, ורוב האכזבות ב-2025 ו-2026 נבעו מבלבול ביניהן.

רמה 1: copilot

מציע. מבקש רשות. נשאר על המסך שלך. ההשלמה האוטומטית של GitHub Copilot היא הדוגמה הקלאסית. הערך נמדד בהקלדות שנחסכו.

רמה 2: עוזר

עונה על שאלות ומחבר תוצרים לפי בקשה. ChatGPT, Claude בדפדפן, פאנל הצ'אט של Microsoft 365 Copilot. הערך נמדד באיכות הטיוטה וסינתזת הקשר.

רמה 3: סוכן

מקבל מטרה, מתכנן רצף צעדים, פועל בכלים שונים, מדווח חזרה. Claude Code שסורק ריפו ופותח PR. Deep Research של ChatGPT שמריץ 20 דקות של חיפושים ומחזיר דוח מצוטט. Anthropic תיעדו מופע של Claude שביצע משימת הנדסה אוטונומית של 7 שעות עבור Rakuten. הערך נמדד בתהליכי עבודה שהושלמו לכל שעת אדם.

רמה 4: עמית

סוכן שפועל בתוך מודל ההרשאות הקיים שלך, משתתף בערוצי התקשורת של הצוות, שומר הקשר לאורך ימים ושבועות, ואחראי לאותו מסלול ביקורת כמו עובד אנושי. זו החזית.

קהילת r/ChatGPT ב-Reddit העלתה מבחן פרגמטי להבחנה בין הרמות, בניסוח חופשי: האם הכלי יוזם, או מחכה לכל הוראה? האם הוא מתמודד עם מצבים לא צפויים, או קורס ודורש ממך להנחות מחדש? האם הוא זוכר הקשר לאורך משימה מרובת שלבים, או שאתה צריך לחזור על עצמך? רוב המוצרים ששיווקו אותם כ"סוכני AI" ב-2025 נכשלו בכל השאלות האלו. אלו שעברו, הם מה שאנשים מתכוונים אליו כיום כשאומרים "עמית".

שימוש במחשב לעומת מיומנויות: למה התשתית חשובה

AI ברמת עמית צריך לפעול בעולם. יש שתי גישות ארכיטקטוניות לכך, וכל אחת נושאת פרופיל סיכון שונה מאוד.

שימוש במחשב

ה-AI מפעיל עכבר ומקלדת מדומים. הוא ממש רואה מסך ולוחץ על כפתורים. Anthropic השיקו Computer Use בסוף 2024, ו-OpenAI's Operator בעקבותיהם. היתרון הוא אוניברסליות: כל תוכנה עם GUI הופכת נגישה.

המחיר הוא רדיוס הפגיעה. סוכן שמשתמש במחשב יורש כל הרשאה שיש למשתמש המחובר. באוקטובר 2025, צוות האבטחה של BeyondTrust הדגים שסוכן Codex של OpenAI ניתן להטעיה, דרך שם ענף Git זדוני עם פקודות shell, לקרוא ולהוציא את GITHUB_TOKEN של המשתמש. הסוכן עשה בדיוק מה שמפתח אנושי היה עושה (בודק ענף), אבל לא הייתה לו אינטואיציה שהשם עצמו הוא קלט עוין. במצב הזה, מודל ההרשאות היה הכל או כלום. זהו מצב הכשל ברירת המחדל של שימוש במחשב.

מיומנויות

ה-AI מפעיל מיומנויות בדידות. כל מיומנות היא פונקציה מפורשת ומוקלדת עם חוזה צר: "חפש ב-Slack הודעות שתואמות ל-q", "צור משימה ב-Linear עם title ו-body", "קרא את הקובץ הזה ב-GitHub". בניגוד לשימוש במחשב, למיומנות יש צורה מאושרת מראש. הסוכן יכול להפעיל אותה רק עם פרמטרים שתואמים לחוזה, והפלטפורמה יכולה לאשר, לדחות או לדרוש אישור לפני שהקריאה יוצאת מה-sandbox.

ההבדל, במונחי אבטחה, הוא עקרון ההרשאה המינימלית. זהו עיקרון יסוד באבטחת מידע: תהליך צריך גישה רק למשאבים הנדרשים לו, ולא יותר. מיומנויות מאפשרות לאכוף הרשאה מינימלית לכל קריאה. שימוש במחשב לא.

פריסה ברמת עמית משתמשת במיומנויות לפעולות מובנות (כתיבה ל-CRM, פתיחת קריאה), ושומרת שימוש במחשב רק למיעוט של אפליקציות שמסרבות לחשוף API. היחס חשוב. אם כל פעולה בפריסת הסוכן שלך עוברת דרך עכבר מדומה, יש לך הדגמת פרודוקטיביות, לא מערכת ייצור.

ארכיטקטורת האמון שארגונים באמת צריכים

המעבר מ-copilot לעמית אינו שדרוג מודל. זהו שדרוג תשתיתי. שלושה מרכיבים מבדילים בין עמית שניתן לפרוס לבין סיכון.

1. בידוד הרשאות

כל סוכן פועל בתוך גבול ההרשאות שלו, עם אישורים שהסוכן עצמו לא יכול להוציא מה-sandbox. הניסוי הוויראלי autoresearch של Andrej Karpathy במרץ 2026, בו נתן לסוכן להריץ 700 ניסויי אימון ללא השגחה במשך יומיים, מלמד בעיקר על מה שהוא לא עשה. הריפו של Karpathy עצמו מנחה משתמשים "לבטל את כל ההרשאות" במצב אוטונומי. זה בסדר ללפטופ מחקר אישי. בארגון מפוקח זו עבירה חמורה.

הדוגמה הנגדית היא Moltbook, הרשת החברתית ל-AI בלבד שהפכה ויראלית לזמן קצר בינואר 2026 עם 1.5 מיליון סוכנים אוטונומיים. Karpathy שיבח אותה כ"הדבר הכי מדהים שראיתי לאחרונה שקרוב להמראה מדע בדיוני". ואז חוקרי Wiz גילו מפתח API של מסד נתונים חשוף בפרונטאנד, שהעניק גישת קריאה/כתיבה מלאה לכל מסד הנתונים, כולל אסימוני אימות לכל 1.5 מיליון הסוכנים. Karpathy חזר בו תוך 24 שעות: "זו קטסטרופה. אני בהחלט לא ממליץ להריץ את זה על מחשבים אישיים." הלקח הוא לא "סוכנים מסוכנים". הלקח הוא שסוכנים ללא בידוד הרשאות לפי זהות מתמזגים לרדיוס פגיעה משותף.

2. מסלולי ביקורת

כל פעולה מתועדת, כל החלטה ניתנת למעקב. מסגרת IMDA של סינגפור, שפורסמה בדאבוס בינואר 2026, מקבעת זאת במטריצת סיכון דו-צירית שממפה את מרחב הפעולה של הסוכן (קריאה לעומת כתיבה, הפיך לעומת בלתי הפיך) מול אוטונומיה (עד כמה הוא מחליט לבד). ככל שאחד הצירים עולה, הדרישה לביקורת מתעשרת. מסגרת זו נבחנת מקרוב על ידי רגולטורים באירופה וארה"ב כי היא מהראשונות שמתרגמות ממשל מעקרונות מופשטים לכלי כיול תפעולי.

סיימון ויליסון טען במקביל לרישום מאוחד כדי שסוכנים יוכלו לעקוב אחרי פעולותיהם ולשחזר שגיאות: "סוכנים עם גישה מלאה למערכת הם חזקים, ומסוכנים." הנקודה המעשית: אם לפריסת הסוכן שלך אין לוג מאוחד שקצין ציות יכול לקרוא לפי סדר, אתה במרחק תקרית אחת מלאבד את הזכות לפרוס.

3. גישת מיומנויות ממוקפת

לא "גישה לאימייל". גישה ל-search inbox where from:@customer.com AND within last 7 days. פלטפורמות סוכנים מודרניות מתקדמות למוקפים פרמטריים, בהם הרשאת הסוכן להפעיל מיומנות מוגבלת לארגומנטים שמנהל מאשר מראש, לא לפי היקף OAuth הגס של משתמש אנושי.

שלבו את שלושת המרכיבים ותקבלו תשובה לשאלה שכל CISO שואל כעת: מה עושה הסוכן כשהוא טועה, ואיך אדע? סקר State of AI של McKinsey ב-2026 מצא כי 72% מהמשיבים הארגוניים ציינו סייבר כחשש ב-AI גנרטיבי, ואבטחה דורגה כ-#1 חסם להרחבת תהליכי עבודה סוכניים בקרב כשני שלישים מהמשיבים. בידוד הרשאות, מסלולי ביקורת וגישה ממוקפת למיומנויות אינם הצגה לציות. זו תשתית הכניסה.

למה זה חשוב עכשיו: שלושה כוחות מתלכדים

המעבר מ-copilot לעמית ב-2026 לא נובע מפריצת דרך אחת. זה תוצאה של שלוש עקומות שנפגשות.

כוח 1: אינטגרציה כבר לא מותאמת אישית

ב-2024, חיבור סוכן לסטאק SaaS ארגוני דרש כתיבת מחבר מותאם לכל כלי. בתחילת 2026, חוזי מיומנויות מוקלדים ומחברים מוכנים צמצמו את העבודה. סוכן שדרש שישה שבועות אינטגרציה ב-2024 דורש אחר צהריים ב-2026. שטח הפנים של חברה בינונית (Slack, GitHub, Gmail, Linear, Notion, HubSpot, CRM, יומנים) מכוסה כעת על ידי ספריות מחברים קוד פתוח בוגרות עם הרשאות מוקלדות מובנות.

כוח 2: ריבוי סוכנים הופך למציאות

גרטנר הגדיר מערכות רב-סוכנים כטרנד טכנולוגי אסטרטגי מוביל ל-2026. סגן נשיא בכיר ג'ין אלוורז נתן את המטפורה שחוזרת בכל מצגת AI ארגונית: "חשוב על צוות פיט-סטופ בפורמולה 1. לכל חבר תפקיד ייחודי (מחליף צמיגים, מתדלק, מפעיל מגבה), אבל כולם מתואמים סביב מטרה אחת. כך נראית פריסת סוכנים ארגונית ב-2026." מערכות סוכן בודד מגיעות לתקרת הסקה במשימות ארוכות טווח. מערכות רב-סוכנים, עם תפקידים ייחודיים והעברות מפורשות, הן הדרך של צוותים לעקוף את התקרות האלו כיום.

כוח 3: תקציבי ארגונים נפתחים

G2 דיווחו במחקר State of Software של 2026 כי 57% מהחברות מפעילות סוכני AI בייצור (לעומת כ-20% שנה קודם).
McKinsey מצאו כי 23% מהארגונים מרחיבים AI סוכני, עם 62% בניסוי. רק כ-15% מהארגונים הגדולים עדיין מחוץ למשחק.
סקר 2026 של Deloitte בקרב 3,235 מנהיגים ארגוניים זיהה את השירותים הפיננסיים כמובילים, עם מקרה בוחן מתועד של סוכן AI שתיעד ופעל על תוצאות פגישות לאורך צינור עסקאות שדרש קודם שלושה אנליסטים.
מדריך Enterprise AI של סטנפורד, שפורסם בתחילת 2026, תיעד 51 פריסות ייצור, עם מקרה הגירה ETL בפינטק שהפך ליישום ייחוס לצוותים בענפים מפוקחים.
השקעות תשתית AI ארגוני שדווחו חצו $600 מיליארד במחזור 2025.
דריו אמודיי מ-Anthropic, בכנס Code with Claude, נתן 70 עד 80% סיכוי להופעת חברה של אדם אחד בשווי מיליארד דולר ב-2026, המופעלת על ידי צוותי סוכנים.

הכסף קיים, הפרוטוקול קיים, והארכיטקטורה קיימת. מה שנדון בכל חדר דירקטוריון כעת הוא כמה אוטונומיה, תחת איזה ממשל, ולאילו תהליכי עבודה.

עמדת הספקן: מה Reddit, arXiv ודוחות התקריות אומרים

סקירה אחראית של השינוי הזה חייבת להתייחס ברצינות לאלו שחושבים שהכל מוגזם.

ב-Reddit, הקונצנזוס ב-r/LocalLLaMA, r/ClaudeCode ו-r/ChatGPT הוא פרגמטי: סוכני קוד כבר כאן ושימושיים. רוב ה"סוכנים" האחרים הם תהליכי אוטומציה בתחפושת צ'אטבוט. המשפט שצוטט בעשרות שרשורי 2026, "השתמש ב-Copilot כשאתה רוצה הצעות. השתמש ב-Claude Code או Cursor כשאתה רוצה שזה באמת יעשה משהו," מסכם את ההבחנה. אותן קהילות לא חוסכות בביקורת על מדדים. גם הסוכנים הטובים ביותר משיגים בערך 60% ב-Terminal-Bench ויורדים ל-16% במשימות קשות. Claude Opus 4.5 מוביל את SWE-bench עם 80.9%, שעדיין אומר שמשימה אחת מתוך חמש נכשלת.

הספקנות האקדמית קשה יותר להפרכה. וישאל סיקה (CTO לשעבר של SAP, תלמידו של ג'ון מקארתי) ושותפו פרסמו את Hallucination Stations: On Some Basic Limitations of Transformer-Based Language Models, וטענו מתמטית שמודלי שפה מבוססי טרנספורמר מוגבלים ביכולת לבצע משימות חישוביות וסוכניות מעבר לרמת מורכבות מסוימת. מסקנתו של סיקה, "אין דרך שהם יהיו אמינים" לפעולות קריטיות, מסתובבת בכל Slack של CISO כעת. המאמר לא טוען שסוכנים חסרי תועלת. הוא טוען שיש סוג בעיות בהן אי אפשר להוציא את האדם מהלולאה, לא משנה כמה המודל טוב.

אירועים אמיתיים מחזקים את הספקנות. מוביל CX קמעונאי שצוטט בסקר 2026 של Yellow.ai: "נאלצנו להפסיק את התמיכה ב-AI אחרי שבועיים בלבד, כי הוא התחיל לצטט מדיניות החזרות שגויה ולהמציא מבצעי הנחה בכ-1.35% מהפניות. עלות תיקון הטעויות עלתה בהרבה על החיסכון המקווה." בקנה מידה, גם שיעור שגיאה תת-2% הופך יקר מהר.

המסקנה: AI ברמת עמית הוא מציאותי בקוד, מחקר, תפעול מובנה ותהליכי תמיכה צרים. הוא עדיין לא מציאותי באינטראקציות פתוחות מול לקוחות ללא בקרה אנושית. הארגונים שמפיקים ערך ב-2026 הם אלו שמודעים לאיזה דלי כל תהליך שייך.

השלכה מעשית: חמש שאלות לפני פריסה

אם הצוות שלך בוחן שותף AI (פיתוח פנימי או חיצוני), אלו השאלות שמבדילות בין פריסה לייצור לכמעט-הצלחה.

מה רדיוס הפגיעה של הפעולה הגרועה ביותר שהסוכן הזה יכול לבצע? מיפוי מילולי. אם המקרה הגרוע הוא "שולח אימייל לא גמור לאדם הלא נכון", רף הממשל נמוך. אם זה "משנה נתוני ייצור" או "שולח הוראות העברה בנקאית", הרף גבוה פי עשרה. מיפוי לפני פריסה, לא אחרי תקרית.
איך הסוכן מקבל אישורים, והאם הוא יכול לקרוא את האסימון הגולמי? יש שלוש תשובות, ורק אחת בטוחה. אם לסוכן יש עותק של אסימון ה-OAuth של המשתמש בסביבתו, למעשה נתת ל-LLM את הארנק שלך. אם לסוכן יש זהות משלו דרך OAuth של חשבון שירות, צריך לעקוב ולבטל אותה כישות אמיתית. התשובה השלישית, שהיא הרצויה: האסימון לעולם לא מגיע לסוכן. הוא נשמר בפלטפורמה, מוצפן, ומוזרק בשכבת פרוקסי הרשת רק בזמן אמת, רק לקריאות שעברו בדיקת מדיניות, ורק עד שהקריאה מסתיימת.
האם כל פעולה מתועדת במקום שממונה ציות יכול לקרוא לפי סדר? מאוחד, ניתן לשאילתה, עמיד לשינוי. אם התשובה היא "יש לנו לוגים איפשהו ב-CloudWatch", אתם לא מוכנים.
האם אפשר למקד גישת מיומנויות לפרמטרים הספציפיים שתהליך העבודה הזה דורש? לכל קריאה, לא לכל אינטגרציה. קריאה לעומת כתיבה. לפי מזהה משאב. לפי חלון זמן. הרשאות הסוכן צריכות להיות מלבן הדוק סביב המשימה, לא כל המחסן.
מה סיפור השחזור אם משהו משתבש? איך הופכים פעולה? כמה מהר? מי מקבל התראה? פעולות בלתי הפיכות (העברות כספים, מיילים ללקוחות, פריסות ייצור) דורשות שלב אישור או חלון עיכוב. הפיכות יכולות לרוץ אוטונומית.

עברו על החמש. אם יש לכם תשובה לכולן, כבר עברתם את עידן ה-copilot ואתם בשלב שמשנה איך הצוות עובד. אם יש שתיים-שלוש, שם להתמקד, לא סיבה להמתין. שותף ה-AI ברמת עמית שמפת הדרכים שלכם מכוונת אליו כבר רץ בייצור איפשהו. הפער ביניכם לבינו הוא פער תשתיתי, לא פער AI פורץ דרך. ופערי תשתית נסגרים מהר.

אין צורך להמתין לגרסת מודל חדשה. צריך לבחור פלטפורמה שכבר עונה על החמש האלו, ולהתחיל לתת לסוכן עבודה אמיתית.

שאלות נפוצות

מה ההבדל האמיתי בין copilot לעמית AI?

Copilot מציע, מבקש רשות, וחי בתוך כלי בודד. עמית מקבל מטרות, מתכנן בין מערכות, פועל בהרשאות ממוקפות, ואחראי לאותו מסלול ביקורת כמו אדם. Bits&Chips ניסחו זאת: copilots פועלים ברמת אינטראקציה, עמיתים ברמת תהליך עבודה.

איך סוכנים צריכים לטפל באישורי משתמש?

אף אחת מהאפשרויות הברורות אינה נכונה. העתקת אסימון ה-OAuth של המשתמש לסביבת הסוכן מכניסה אישור חי להקשר של ה-LLM. יצירת זהות נפרדת לכל סוכן הופכת כל סוכן לישות שיש לעקוב, לבטל ולבקר כמו אדם. הדפוס שעובד בפועל הוא גישה מתווכת: האסימון נשמר מוצפן בפלטפורמה; פרוקסי הרשת של ה-sandbox פונה לפלטפורמה בזמן הבקשה; הפלטפורמה מפענחת את האסימון ומחזירה רק כותרות האימות לקריאות שעברו בדיקת מדיניות; הסוכן עצמו לעולם לא קורא, מתעד או מבקש את האסימון הגולמי.

שימוש במחשב או מיומנויות – במה לבחור?

מיומנויות כברירת מחדל, לכל דבר עם API. שימוש במחשב רק כאשר למערכת היעד אין ממשק מתוכנת. תקרית Codex של BeyondTrust היא סיפור הזהירות: שימוש במחשב יורש את כל ההרשאות של המשתמש, וקלט עוין בכל מקום בשדה הראייה של הסוכן עלול להפוך לניצול.

עד כמה לאפשר לסוכנים אוטונומיה?

השתמשו במסגרת הדו-צירית של IMDA סינגפור: מרחב פעולה × אוטונומיה. מרחב פעולה צר (קריאה בלבד, הפיך) מאפשר אוטונומיה גבוהה. מרחב פעולה רחב (כתיבה, בלתי הפיך, מול לקוח) דורש אישור אנושי או חלון עיכוב. התצורה הגרועה ביותר היא אוטונומיה גבוהה על פעולות קריטיות ללא מסלול ביקורת.

איך מודדים ROI?

הפסיקו למדוד הקלדות שנחסכו. מדדו תהליכי עבודה שהושלמו לכל שעת אדם, זמן לפתרון בתקלות תפעול, ושיעור בריחה (משימות שהסוכן החזיר לאדם). ממצאי 2026 של Deloitte מצביעים על שלושה מדדים מובילים: שיעור השלמת תהליך, שיעור שגיאות, ושיעור התערבות אנושית, ואופטימיזציה של היחס ביניהם.

מה עושים עם שיעור כישלון הפיילוטים 95%?

קראו היטב את הפירוט של MIT NANDA. הפיילוטים שנכשלו עבדו בעיקר על "Dumb RAG" (הכל בהקשר), "Brittle Connectors" (אינטגרציות API שבורות), וללא ארכיטקטורה מונחית אירועים. הפיילוטים שהצליחו כללו שכבת תפעול סביב ה-LLM: זיכרון, קלט/פלט והרשאות. ליבת ה-LLM אינה צוואר הבקבוק. התשתית שמסביב היא.

איפה VM0 משתלב

בנינו את Zero סביב הימור ארכיטקטוני אחד: הסוכן לעולם לא מחזיק את האישור. לא בסביבה, לא בפרומפט, לא בזיכרון. האסימון נשאר בפלטפורמה. כל קריאה יוצאת של הסוכן מתווכת דרך פרוקסי רשת שמחליט, לכל קריאה, האם להזריק כותרת אימות או לחסום את הבקשה.

זו בחירה לא שגרתית. הדפוסים הנפוצים ב-2026 הם או לתת לסוכן זהות OAuth משלו (עכשיו יש לך ישות שנייה לבקר ולבטל) או למסור לו עותק של אסימון המשתמש במשתנה סביבה (עכשיו ה-LLM יכול לקרוא את הארנק שלך). אנחנו לא עושים אף אחד מהם. כך זה עובד בפועל.

האסימון לעולם לא מגיע לסוכן. כשאתה מחבר מחבר ל-Zero (GitHub, Slack, Gmail, Linear, Notion, HubSpot וכו'), אסימון ה-OAuth נשמר מוצפן בפלטפורמה. אסימוני רענון נשארים במסד הנתונים ולעולם לא יוצאים ממנו. בתוך ה-sandbox, אין משתנה סביבה GITHUB_TOKEN לקרוא, אין קובץ סודות לפתוח, אין כלי שמחזיר את האסימון.

פרוקסי רשת מתווך כל קריאה. כל בקשת HTTP שיוצאת מה-sandbox עוברת דרך תוסף מבוסס mitmproxy. הפרוקסי מזהה את המחבר לפי שם המארח בבקשה, בודק את מדיניות החומת אש של הסוכן, ובודק אם השיטה והנתיב מאושרים. אם כן, הפרוקסי פונה ל-webhook של הפלטפורמה. הפלטפורמה מפענחת את האסימון, מרעננת אותו אם פג, פותרת תבניות כותרות (${{ secrets.GITHUB_TOKEN }} הופך לערך האמיתי), ומחזירה רק את כותרות האימות לפרוקסי. הפרוקסי מזריק את הכותרות לבקשה היוצאת. כשהקריאה מסתיימת, הכותרות נמחקות מזיכרון הפרוקסי. הסוכן לא ראה אותן.

הרשאות הן לכל סוכן, לכל מחבר, ומוקלדות ברמת נקודת הקצה. לכל סוכן יש אובייקט מדיניות שממפה כל מחבר לקבוצות הרשאה בשם. github:repo-read אינו היקף מעורפל. זו חבילה של כללי שיטה-ונתיב, למשל GET /repos/{owner}/{repo}/pulls. מתן גישת GitHub לא מעניק GitHub. זה מעניק צורת כוונה בתוך GitHub.

שלושה מצבי מדיניות, לא שניים. כל הרשאה נפתרת ל-allow, deny או ask. האחרון דורש אישור אנושי לפני ביצוע הפעולה. כל מה שחומת האש לא מתאימה לו עובר ל-unknownPolicy לכל מחבר, שמוגדר כברירת מחדל ל-deny. הרשאה מינימלית היא ברירת המחדל, לא אופציה.

sandbox נפרד לכל הרצה. כל הרצת סוכן פועלת בתוך Firecracker microVM עם מרחב רשת מבודד. כשההרצה מסתיימת, המרחב נהרס. שתי הרצות של אותו סוכן הן שני sandbox נפרדים עם שני מסלולי ביקורת נפרדים.

מסלול ביקורת לכל בקשה. אותו פרוקסי שמחליט לאשר/לדחות גם כותב לוג JSONL לכל הרצה עם מטא-דאטה של חומת אש לכל בקשה: המחבר, קבוצת ההרשאה שהתאימה, הכלל הספציפי שהתאים, ההחלטה, החותמת זמן. הלוגים חוזרים לפלטפורמה. אם CISO צריך לדעת מה עשה הסוכן ב-14 באפריל בין 15:00 ל-17:00 CST, זו שאילתה אחת.

CLI שמסביר חסימות. כשאישור חוסם קריאה, הסוכן (או האדם לידו) יכול להריץ zero doctor permission-deny <connector> --method <M> --path <P> ולקבל את קבוצת ההרשאה שחסמה, עם קישור לפתרון. zero doctor permission-change מאפשר למנהלים לשנות הרשאה ישירות, או לחבר להגיש בקשה כתובה (מוגבלת ל-500 תווים, כדי שהנימוק יהיה קריא) שמנותבת למנהל. הרשאות בסיכון גבוה כמו slack:chat:write או gmail.send מציגות אזהרה נוספת שמפנה לחלופה בטוחה ומוגבלת לבוט.

שתי רמות, זרימת אישור אחת. בעלי הרשאות ומנהלים משנים הרשאות ישירות. חברים מגישים בקשה עם נימוק, שמנותבת למנהל. אין רמת "כמעט-מנהל" שלישית. הזרימה קטנה מספיק כדי שאנשים באמת ישתמשו בה, וזה כל העניין.

אנו שומרים שימוש במחשב רק למערכות ישנות שמסרבות לחשוף API. כל השאר עובר דרך מיומנויות. כל פעולה נבדקת במדיניות. כל אישור נשאר בפלטפורמה. כל החלטה מתועדת.

אם עברתם את שלב "עוד השלמה אוטומטית" ורוצים לנסות שותף AI שהצוות אבטחה יאשר, ראו איך Zero מטפל בתהליכי עבודה מתוזמנים, מטפל בתקריות ייצור, או מריץ תדריך מוצר בוקר.

עידן ה-copilot לא נגמר. הוא נטמע במשהו גדול יותר. הצוותים שינצחו במחזור הבא הם אלו שמבינים את ההבדל.