מה השתנה? חוקרי Unit 42 מבית Palo Alto Networks חשפו קמפיין ריגול שמכוון לתשתיות Linux של גופים ממשלתיים ולתשתיות המזוהות עם מדינות. לפי הדוח, הפעילות נמשכה מאוקטובר 2025 ועד אפריל 2026. החברה מכנה את הקבוצה CL-UNK-1211 ואינה יודעת מי עומד מאחוריה. היא גם לא קבעה אם מדובר במדינה או בגורם פלילי.
למה זה חשוב עכשיו? הממצא המעניין ביותר בדוח אינו הפריצה עצמה, אלא הטקסט שנמצא בתוך הארטיפקטים. לפי Unit 42, חלק מהקוד מכיל הערות בסגנון שיחה ונימוקי פיתוח, כמו שמתעדים מפתחים שעובדים עם עוזר AI. החוקרים מציעים שני הסברים אפשריים: שהקוד נוצר בעזרת מודל שפה, או שסוכן אוטומטי הריץ חלק מהפעולות. זו השערה של החברה ולא קביעה, והדוח אינו מציג הוכחה חד-משמעית לכך.
מה תיעדו החוקרים
לפי הדוח, התוקפים השתמשו בכלים שונים, ביניהם כלי קוד פתוח, תוכנות גישה מרחוק שפותחו במיוחד ו-web shells (מעטפות אינטרנט) שמאפשרות שליטה מרחוק על השרת. הפעילות כללה ניסיון לשאוב מסדי נתונים, ואחר כך ניסיון להוציא תיבות דואר של גורמים ממשלתיים, ככל הנראה כדי להגיע לחשבונות ברשתות החברתיות של אותם אנשים. בשלב נוסף ניסו התוקפים לנטרל מערכות הגנה במחשבי הקצה (endpoint) ולמחוק לוגים, כלומר להסתיר את עקבותיהם.
הדוח מתאר את הפעילות כפי שנצפתה, ואינו כולל מספרי נפגעים או הערכה מלאה של היקף החדירה.
הקשר רחב: סוכנים שמבצעים פריצות
הקמפיין הזה מתווסף לדיון שמתרחב על שימוש ב-AI בפעולות תקיפה. כבר דיווחנו על תקריות שבהן סוכני AI שימשו לביצוע פריצות, ועל הסיכון שמתעורר כשאותם כלים זמינים גם לתוקפים פחות מתוחכמים. כפי שפירטנו בסקירה על תקריות הפריצה של סוכני AI, השאלה המרכזית היא לא רק מי כותב את הקוד, אלא גם כמה מהר אפשר להריץ אותו בלי התערבות אנושית.
לקורא הישראלי יש כאן שני דברים לזכור. ראשית, תשתיות Linux ממשלתיות ומוסדיות נמצאות בכל מקום, ולכן הדפוס המתואר עשוי להיות רלוונטי גם לארגונים בישראל. שנית, הסימן המעניין אינו טכני בלבד: הטקסט שהשאירו התוקפים עצמו עשוי לספק רמזים לאופן הפיתוח.
השורה התחתונה
הדוח של Unit 42 מציג קמפיין רציני נגד תשתיות ממשלתיות, ורמז מעניין לשימוש ב-AI בפיתוח הכלים. השיוך נותר לא ידוע, וההשערה על יצירה או הרצה אוטומטית טרם אומתה. מה שכדאי לעקוב אחריו: אם חוקרים נוספים יאשרו את הממצאים, ואם יתפרסם פירוט טכני מלא יותר על הכלים והשיוך שלהם.
מקורות:
Unit 42 (Palo Alto Networks), הדוח המקורי: https://unit42.paloaltonetworks.com/ai-campaign-targets-linux-infrastructure/
דיווח משני שחוזר על הדוח, ואינו מקור עצמאי: https://threatintel.cc/2026/10/15/aipowered-espionage-campaign-targets-government.html