כל הסיסמאות שה-AI מבקש ממך — לאן הן הולכות?

כשאת בונה מערכת עם AI, בשלב מסוים הוא מבקש סיסמאות. למסד הנתונים. למייל. לסליקה. למפתחות API של שירותים חיצוניים. את מדביקה, זה עובד, וממשיכים.

אבל עצרי רגע ושאלי: לאן הסיסמאות האלה הלכו? ומי שומר עליהן עכשיו? כי כל סיסמה כזו היא דלת. ומי שמשיג אותה — נכנס לכל הנתונים של הלקוחות שלך.

הסכנה השקטה

ה-AI רוצה שזה יעבוד. הוא ישמח לשים מפתח במקום הכי נוח — בתוך הקוד, בקובץ הגדרות, בלוג. וברגע שמפתח כזה נכנס להיסטוריית הקוד או נכתב ללוג — הוא שם לתמיד, גם אם תמחקי אותו אחר כך.

זה לא תרחיש דמיוני. דליפות הכי גדולות בעולם התחילו ממפתח אחד ששכב בטעות במקום הלא נכון. לא מפריצה מתוחכמת — מרשלנות.

מה שאני מביאה מ-16 שנה של נתונים רגישים

החזקתי נתוני אשראי של אלפי לקוחות תחת PCI. שם לומדים שמשמעת-סודות היא לא פרנויה — היא הבסיס. כמה כללים שאסור להתפשר עליהם, גם (ובמיוחד) כשבונים עם AI:

🔑 סוד אף פעם לא בקוד ולא ב-git — מקומו ב-.env או במנהל-סודות.
🔑 הכל מוצפן — גם כשהוא "נח" במסד וגם כשהוא נע ברשת.
🔑 לוג בלי סודות ובלי נתונים אישיים — לא סיסמאות, לא ת"ז, לא מספרי כרטיס.
🔑 הרשאה מינימלית — לכל מפתח רק מה שהוא חייב.
🔑 אפשר להחליף מפתח בלי לשבור את המערכת — כי מפתחות צריך לסובב.

הנקודה לגבי AI

ה-AI לא מכיר את רמת הסיכון שלך. הוא לא יודע שמאחורי הסיסמה הזו יושבים נתונים של אנשים אמיתיים. את יודעת. ולכן זו העבודה שלך לוודא שכל סוד מוצפן, לא חשוף, ולא זלג למקום שלא צריך — לא של הכלי.

השורה התחתונה

לפני שאת מוציאה משהו לאוויר, עברי על שאלה אחת פשוטה: כל סיסמה במערכת — את יודעת איפה היא, ושהיא מוצפנת? אם התשובה "לא בטוחה" — שם מתחילים. זו לא פרנויה. זו אחריות.