7 ליקויי האבטחה הנפוצים בקוד שנוצר באמצעות AI — וכיצד להימנע מהם

בקצרה: כלי AI מאפשרים להקים אתר בתוך שעה — אך נוטים לדלג על אבטחה. במאמר: שבעת ליקויי האבטחה הנפוצים בקוד שנוצר באמצעות AI (על בסיס OWASP ונתוני Patchstack), וכיצד להשתמש ב‑AI נכון — מבלי לוותר עליו.

כלי ה‑Vibe Coding והבילדרים מבוססי ה‑AI שינו את כללי המשחק: גם מי שמעולם לא כתב שורת קוד יכול כיום להקים אתר, תוסף או אפליקציה בתוך שעות ספורות. זוהי התפתחות מבורכת — עם צד אפל אחד: הקוד נראה תקין ופועל, אך איש לא בדק אם הוא בטוח. ואין מדובר בתיאוריה: דוח State of WordPress Security 2025 של Patchstack ו‑Sucuri תיעד עלייה ניכרת בתוספים שנכתבו בסיוע AI והכילו פגיעויות אבטחה — ברוב המקרים כתוצאה מהסתמכות עיוורת על הקוד שנוצר — והזהיר במפורש כי כלי AI צפויים להאיץ גם את קצב ניצול הפגיעויות בצד התוקפים.

הרשימה שלהלן מבוססת על קטגוריות הסיכון המוכרות של OWASP ועל ממצאים בפועל בקוד שנוצר בסיוע AI. אין מדובר בבאגים אקזוטיים — אלה בדיוק הנושאים שכלי AI נוטים לדלג עליהם כאשר אינם מתבקשים לכך במפורש:

1. בדיקות הרשאה חסרות (Broken Access Control)

ה‑AI בונה את כפתור "מחק משתמש" ואת ה‑API שמאחוריו — אך אינו מוודא שהמשתמש שלחץ הוא אכן מנהל מערכת. לא במקרה זוהי הקטגוריה הראשונה ברשימת OWASP Top 10, ולפי Patchstack — סוג המתקפה הנפוץ ביותר שנחסם בוורדפרס בשנת 2025 (57% מכלל החסימות). מתקפה זו מסוכנת במיוחד משום שהיא נראית כתעבורה לגיטימית לחלוטין.

2. מפתחות API וסודות בתוך הקוד

מפתח של שירות תשלומים או של מסד נתונים שהודבק ישירות בקוד צד‑לקוח, או נדחף למאגר (Repository) ציבורי. סורקים אוטומטיים מאתרים מפתחות חשופים ב‑GitHub בתוך דקות. מקומם של סודות הוא במשתני סביבה ובכספות ייעודיות (Secrets Management) — לא בקוד.

3. קלט משתמש ללא סינון (Injection / XSS)

טופס "צור קשר" או שדה חיפוש שמזרימים את הקלט ישירות לשאילתת SQL או לעמוד — הדרך הקלאסית ל‑SQL Injection ול‑XSS. לא במקרה היה XSS סוג הפגיעות המדווח ביותר באקוסיסטם של וורדפרס בשנת 2024 — כמעט מחצית מכלל הדיווחים.

4. היעדר הגבלת קצב (Rate Limiting)

עמוד התחברות או טופס ללא הגבלת מספר הניסיונות הם הזמנה פתוחה למתקפות Brute Force ולספאם של בוטים — וגם דרך מהירה לחשבון ענן שיוצא משליטה תקציבית.

5. הגנת CSRF חסרה

פעולות רגישות (שינוי כתובת דוא"ל, מחיקה, תשלום) ללא אסימוני אימות ייעודיים מאפשרות לאתר זר לבצע פעולות בשם המשתמש המחובר. בוורדפרס: קוד AI שמדלג על בדיקות nonce הוא תופעה שכיחה.

6. הודעות שגיאה מפורטות מדי ומצב Debug פתוח

מצב פיתוח שנותר פעיל בסביבת הייצור (Production) חושף נתיבי קבצים, גרסאות ולעיתים אף פרטי התחברות — מפת דרכים חינמית עבור התוקף.

7. תלויות (Dependencies) ישנות ונטושות

ה‑AI ממליץ על ספריות ותוספים מבלי לבדוק אם הם עדיין מתוחזקים. בשנת 2024 בלבד הוסרו מ‑WordPress.org‏ 1,614 תוספים בעקבות בעיות אבטחה — וחלקם ממשיכים לפעול באתרים חיים עד היום.

כיצד משתמשים ב‑AI נכון?

לא מוותרים עליו — עוטפים אותו בשכבות הגנה:

1. סקירת קוד יזומה — בקשו מהכלי במפורש לסקור את הקוד לפי OWASP Top 10 ולתקן את הממצאים.
2. סריקה לפני עלייה לאוויר — הריצו סורק תלויות ופגיעויות לפני ההשקה.
3. תשתית מגוננת — העלו את האתר לסביבת אחסון הכוללת WAF, ‏Virtual Patching וניטור שוטף, כך שגם מה שפוספס בקוד נתפס בדרך.
4. בדיקה אנושית — לכל אתר עם משתמשים או תשלומים, בצעו לפחות בדיקת אבטחה אנושית אחת לפני ההשקה. שעה של בדיקה עולה פחות מאירוע אבטחה אחד.

קריאה נוספת בבלוג SPD: למה "צ'אט AI" אינו מספיק? הכירו את Gemini Enterprise · חומת אש (WAF) — הגנה מתקדמת לאתר · אחסון WordPress מנוהל + AI

רוצים שנעבור על זה יחד? צוותי SPD זמינים 24/7 — ניטור, הגנה ותמיכה על תשתית ישראלית. דברו איתנו: tel:03-6221258 · spd.co.il/contact

מקורות: Patchstack & Sucuri — State of WordPress Security in 2025 · OWASP Top 10 · Patchstack — State of WordPress Security in 2026