שביעית מהארגונים כבר נפרצו על ידי כלי AI

ה-AI שולטתתת, גם בסייבר: 13% מהארגונים בעולם כבר נפרצו על ידי מודלים או יישומי AI, בעוד ש-8% מהם דיווחו שאינם יודעים אם נפרצו בדרך זו. מבין הארגונים שנפרצו, 97% אישרו שלא היו ברשותם בקרות גישה ל-AI.

נתונים אלה עולים מדו"ח עלות פריצת המידע (Cost of a Data Breach Report), שהנפיקה יבמ. הדו"ח, שנכתב על ידי מכון פונמון, מבוסס על פריצות שחוו 600 ארגונים ברחבי העולם בין מרץ 2024 לפברואר 2025.

החוקרים ציינו כי "הממצאים מצביעים על כך שקצב אימוץ הבינה המלאכותית גובר על המאמץ לאבטח אותו ואת השימוש בו".

אחד הממצאים מעלה שבשל העדר בקרות גישה לבינה מלאכותית, 60% מאירועי האבטחה הקשורים ל-AI הובילו לדליפת מידע ו-31% גרמו להפרעה תפעולית. כמו כן, 16% מהפריצות שנחקרו כללו תוקפים שהשתמשו בכלי AI, לרוב לצורכי פישינג או מתקפות דיפ פייק של התחזות.

צל AI

היבט נוסף שנכלל במחקר היה צל בינה מלאכותית (Shadow AI) – שימוש בלתי מוסדר ובלתי מורשה ביישומי AI בסביבה הארגונית. מהמחקר עולה שאחד מכל חמישה ארגונים דיווח על פריצה שקשורה לצל AI, ורק ל-37% מהארגונים יש מדיניות פנימית לניהול יישומי AI או לאיתור צל הבינה המלאכותית. ארגונים בעלי רמות גבוהות של שימוש בצל AI חוו, בממוצע, עלויות פריצה גבוהות ב-670 אלף דולר מאשר אלה עם רמות נמוכות או בלא שימוש בו.

אירועי אבטחה שכללו צל AI הובילו לחשיפה גבוהה יותר של מידע מזהה אישי (65%) וקניין רוחני (40%) – בהשוואה לממוצע הגלובלי (53% ו-33%, בהתאמה). כמו כן, ל-63% מהארגונים שנפגעו לא הייתה מדיניות פנימית לניהול בינה מלאכותית. מבין הארגונים שהייתה להם מדיניות שכזו, רק 34% ציינו שהם מבצעים ביקורות סדירות עבור בינה מלאכותית לא מאושרת.

עלות אירוע פריצת מידע

מהמחקר עולה שהעלות הממוצעת העולמית של דליפת מידע ירדה ל-4.44 מיליון דולר – הירידה הראשונה זה חמש שנים, בעוד שהעלות הממוצעת של פריצה בארצות הברית הגיעה לשיא של 10.22 מיליון דולרים. מחזור החיים הממוצע של פריצה ירד ל-241 ימים – ירידה של 17 יום מהשנה שעברה, ככל שיותר ארגונים זיהו את הפריצה בעצמם. אלה שזיהו את הפריצה חסכו 900 אלף דולר בעלויות, לעומת הארגונים שהפריצה נודעה להם מהתוקף.

פריצות במגזר הבריאות נותרו היקרות ביותר, עם ממוצע של 7.42 מיליון דולר. מדובר בירידה של 2.35 מיליון דולר בעלויות לעומת 2024. פריצות במגזר זה גם דורשות את הזמן הרב ביותר לזיהוי ושליטה – 279 ימים, חמישה שבועות יותר מהממוצע העולמי של 241 ימים.

הדו"ח מתייחס גם למגמה שהסתמנה מהשנה שעברה, אז ארגונים החלו להתנגד יותר לדרישות כופר. ארגונים רבים יותר בחרו לא לשלם כופר (63%) לעומת מספרם בשנה שלפניה (59%). הגם שיותר ארגונים מסרבים לשלם את דמי הכופר, העלות הממוצעת של אירוע סחיטה או כופרה נותרת גבוהה, במיוחד כשמדובר באירוע שפורסם על ידי התוקף – 5.08 מיליון דולר.

כמעט כל הארגונים שנכללו במחקר חוו הפרעה תפעולית בעקבות פריצת מידע, וזו פוגעת בלוחות הזמנים של ההתאוששות. רוב הארגונים שדיווחו על התאוששות נזקקו ליותר מ-100 ימים בממוצע לשם כך. עם זאת, ההשלכות של פריצה נמשכות מעבר לטווח ההתמודדות המיידית: כמעט מחצית מהארגונים דיווחו שהם מתכננים להעלות את מחירי המוצרים או השירותים בעקבות הפריצה, כאשר מעט פחות משליש דיווחו שהם יעלו אותם ב-15% או יותר.

ההעדפה: אימוץ מיידי של AI על פני שימת דגש על אבטחה

ברקע נתוני העלויות של אירועי פריצה, הדו"ח מלמד שחלה ירידה משמעותית במספר הארגונים שציינו שהם מתכננים להשקיע באבטחה לאחר פרצה: 49% השנה לעומת 63% בשנה שעברה. פחות ממחצית מאלה שמתכננים להשקיע באבטחה לאחר פריצה יתמקדו בפתרונות או שירותי אבטחה המונעים על ידי בינה מלאכותית.

"התוצאות מצביעות על כך שארגונים מעדיפים אימוץ מיידי של AI על פני שימת דגש על נושאי האבטחה והממשל", סיכמו החוקרים. "יש גם חוסר בבקרות: מערכות שאינן כפופות לתקנות ממשל תאגידי נוטות להיפרץ בתדירות גבוהה יותר, והפריצות מתבררות גם כיקרות יותר לתיקון. כבר קיים פער בין אימוץ בינה מלאכותית לבין פיקוח עליה, וגורמי איום מתחילים לנצל אותו".