Agentic AI: זה לא מודל, זאת הרשאה. שישה צעדים לפני שנותנים ל-agent לגעת

agentic AI זה לא מודל, וזה לא מוצר. זאת הרשאה. ברגע שנתתם ל-LLM לבחור את הקריאה הבאה ולבצע אותה בלי שבן אדם מאשר, אתם agentic. עד אז יש לכם צ׳אטבוט עם הרבה טאבים.

אני יודע שזה נשמע קטנוני מול ה-16 במרץ 2026, היום שבו אנבידיה השיקה את Vera, מעבד ״שנבנה במיוחד ל-agentic AI״. או מול הסקר של MIT Sloan ו-BCG מאביב 2025, שבו 35% אמרו שכבר אימצו agents ועוד 44% תכננו. אבל תשאלו מישהו שהריץ agent מול מערכת אמיתית מה השתנה אצלו. הוא לא יגיד ״המודל״. הוא יגיד שמי שקורא ל-API, לדאטהבייס ול-repo כבר לא קוד שמפתח כתב ועבר עליו.

המילה נדבקה באביב 2024, כשאנדרו אנג התחיל לדחוף ״agentic workflows״ בהרצאות שלו. בינואר 2025 ג׳נסן הואנג כבר קרא לזה ב-CES ״הזדמנות של טריליוני דולרים״. בסדר. שם זה לא שיטה. השאלה היא מה עושים ביום ראשון בבוקר כשמישהו בצוות אומר ״בואו נעשה את זה agentic״. אלה הצעדים, בסדר שאני הייתי עושה אותם.

01 · תכתבו מי מחליט כל צעד

קודם כל, קחו את ה-workflow ותפרקו אותו לצעדים. ליד כל צעד תכתבו שני דברים: מי מחליט, קוד או מודל, ובמה הוא נוגע, קורא או כותב. זה כל התרגיל.

מה שתראו: רוב הצעדים בכלל לא צריכים מודל. פרסור, ניתוב לפי סוג, retry, פורמט פלט. כל אלה חוקים. אצלנו בפייפליין היומי, כל מקום שהחלפנו בו קריאה ל-LLM בחוק נהיה זול ויציב יותר. ובמקביל תמצאו צעד אחד או שניים שבהם המודל גם בוחר וגם כותב. זה ה-agentic האמיתי שלכם, ולשם הולכת כל העבודה של הצעדים הבאים.

הארטיפקט: טבלה של שלוש עמודות ב-README של הפרויקט. צעד, מחליט, נוגע. אם אין בה שורה שבה המודל כותב, אין לכם בעיית agentic. יש לכם RAG, וזה בסדר גמור.

02 · תנו ל-agent זהות משלו

קרן OpenID פרסמה באוקטובר 2025 white paper של 33 עמודים על זהות ל-agents. בשורה התחתונה: OAuth 2.1 עובד יפה בתוך דומיין אמון אחד, כשה-agent עובד סינכרוני מול כלים פנימיים. הוא מתחיל לחרוק כשה-agent חוצה דומיינים, רץ אסינכרוני, או פועל בשם כמה משתמשים בבת אחת.

בפועל: אל תריצו agent עם ה-token האישי שלכם ולא עם service account משותף. תפתחו לו identity נפרדת, עם scope לכל כלי, token קצר (15 דקות, לא שנה) ולוג שאומר מה הוא עשה ובשם מי. אם ה-agent עובד דרך MCP, תבדקו שה-server בודק הרשאה על כל tool call ולא רק בכניסה.

מה תראו: ב-audit log פתאום אפשר להבדיל בין ״דני מחק״ לבין ״ה-agent של דני מחק״. בלי זה, אחרי תקלה אין לכם אפילו על מה לדבר.

03 · תחזקו את הדאטהבייס מפני מי שקורא לו

ארפיט בהטבי פרסם במרץ 2026 פוסט שכל DBA צריך לקרוא. הטענה שלו: כל הדאטהבייסים שלנו בנויים על חוזה שאף אחד לא כתב. הקורא הוא קוד דטרמיניסטי, שאילתות צפויות, מפתח עבר עליהן. agent לא עובד ככה. הוא מגיע לשאילתה דרך reasoning, יכול להריץ join על חמש טבלאות שאף אחד לא הריץ אף פעם, ולהחזיק את ה-connection פתוח בזמן שהוא חושב. שאילתה של 30 שניות מבן אדם היא באג שמישהו יראה. מ-agent זו אולי לולאה שאף אחד לא מסתכל עליה.

אז את ההגנה שמים ברמת ה-role, לא באפליקציה:

CREATE ROLE agent_worker LOGIN CONNECTION LIMIT 5;
ALTER ROLE agent_worker SET statement_timeout = '5s';
ALTER ROLE agent_worker SET idle_in_transaction_session_timeout = '10s';
ALTER ROLE agent_worker SET default_transaction_read_only = on;
GRANT USAGE ON SCHEMA analytics TO agent_worker;
GRANT SELECT ON ALL TABLES IN SCHEMA analytics TO agent_worker;

רגע, הסתייגות קטנה: את default_transaction_read_only ה-session יכול לדרוס. זו חגורה, לא כספת. ההגנה האמיתית היא ה-GRANT: אם אין לו הרשאת כתיבה, הוא לא יכתוב.

מה תראו אחרי ההרצה: ה-agent יתחיל לקבל timeouts שלא ראיתם קודם. מצוין. כל אחד מהם הוא לולאה שהייתה רצה בלי סוף. תחזירו את השגיאה ל-agent כטקסט כדי שינסה שאילתה צרה יותר, ותספרו כמה כאלה יש ביום.

04 · תכניסו בודק לתוך הלולאה

באייר פרסמו ביוני 2026 באתר של מרטין פאולר את הסיפור של PRINCE, מערכת agentic RAG לדאטה פרה-קליני. הם פיצלו את העבודה לשלבים נפרדים: מחקר, רפלקציה, כתיבה. וסביב המודל בנו את כל מה שהיום קוראים לו harness: retries, fallbacks, ולידציה, לולאות רפלקציה, observability וסקירה אנושית. כשהתחילו, הם אפילו לא השתמשו במונחים האלה.

OpenAI הגיעו לאותה מסקנה מכיוון אחר. ב-28 ביולי 2026 הם פרסמו דוח שדה על 8 פרויקטים של מחשוב מדעי, חמישה רק עם Codex ושלושה עם Codex וקלוד קוד:

Now, the bottleneck is validating an AI agent’s output, which still depends on human judgement. — OpenAI, Scientific computing in the age of agentic AI

בגדול: כל צעד שהמודל כותב בו צריך בודק שרץ לפני שהתוצאה ממשיכה הלאה. סכמה ל-JSON, טסטים לקוד, מודל שני לטקסט, ובמקרים הכבדים בן אדם. ה-agent לא מסיים כשהוא אומר שסיים. הוא מסיים כשהבודק עבר.

הארטיפקט: תנאי עצירה בכתב, עם מספרים. מקסימום 20 צעדים למשימה, מקסימום שני ניסיונות לאותו כלי עם אותם פרמטרים, ותקרת tokens. עברתם אחד מהם, המשימה נעצרת עם שגיאה ברורה ולא ממשיכה בשקט.

05 · שער אנושי רק איפה שאין דרך חזרה

ביולי 2025 ה-agent של Replit מחק דאטהבייס של פרודקשן אצל ג׳ייסון למקין מ-SaaStr, באמצע code freeze שהוגדר לו במפורש. אמג׳ד מסעד, המנכ״ל, התנצל פומבית והבטיח הפרדה אוטומטית בין DB של פיתוח לפרודקשן. כלומר, התיקון לא היה prompt טוב יותר. התיקון היה הרשאה.

טוב, אז שמים אישור אנושי על כל צעד? לא. אחרי יומיים כולם לוחצים ״אשר״ בלי לקרוא. תשימו אותו רק על פעולות שאי אפשר לבטל: DROP ומחיקה, deploy לפרודקשן, מייל ללקוח, תשלום. ה-template של Ship-Code ב-AgentSwarms עושה בדיוק את זה: agents מתכננים, כותבים ועושים review ל-diff, וה-deploy עוצר על node של אישור אנושי.

הדעה שלי: אני לא קונה ״אוטונומיה מלאה״ כיעד. ב-agent טוב בן אדם מאשר פעמיים ביום, לא אפס פעמים. המדד הוא כמה אישורים נשארו אחרי שבניתם את כל ה-guardrails, ושכל אחד מהם באמת נקרא.

06 · תתאמנו על agent של מישהו אחר

ב-16 ביולי 2026 Capital One שחררו בקוד פתוח את VulnHunter. זה לא סורק פסיבי: agent שמחפש פגמים שאפשר לנצל, ממפה מסלולי תקיפה ומציע תיקון ממוקד בקוד. בשבילכם זה מגרש אימונים מוכן.

לפני שאתם בונים agent שנוגע בקוד שלכם, תעשו clone ל-github.com/capitalone/vulnhunter, תריצו אותו על שירות פנימי אחד בתוך sandbox, ותרשמו שלושה מספרים: אילו כלים והרשאות הוא מבקש, כמה צעדים לוקחת לו משימה, וכמה מהתיקונים שלו עוברים את הטסטים שלכם בלי נגיעה. זה benchmark פנימי בחינם, ותקבלו ממנו baseline לתנאי העצירה מצעד 04.

ואם אתם כבר מריצים כמה agents במקביל, קלוד קוד, Codex, Cursor, כלים כמו AgentsDock מרכזים את כולם במסך אחד, כולל מהטלפון. נוח. רק תזכרו שכל מסך כזה הוא עוד מקום שממנו מישהו יכול לאשר פעולה ברכבת, בלי לקרוא מה הוא מאשר.

מה לקחת

• טבלת ״מי מחליט, מה נוגע״ לפני שורת הקוד הראשונה. רוב השורות יתבררו כחוקים.
• identity נפרדת ותפקיד DB נפרד לכל agent, עם timeouts ברמת ה-role.
• בודק בתוך הלולאה ותנאי עצירה עם מספרים. ״סיימתי״ של המודל זה לא סיום.
• שער אנושי רק על מה שאי אפשר לבטל. אישור על כל צעד הוא תיאטרון, ואחרי שבוע אף אחד לא קורא אותו.