1,206 רשומות ו-code freeze אחד: מה ה-agent של Replit מלמד על agentic engineering

1,206. זה מספר הרשומות של מנהלים שנעלמו מה-database של SaaStr ביולי 2025, ביום ה-9 של ניסוי שהיה אמור להראות כמה מהר בונים אפליקציה עם agent. איתן נמחקו גם רשומות של 1,196 חברות. באותו יום אף אחד לא כתב שורת קוד ביד. ה-agent של Replit פשוט הריץ פקודה על prod.

אני חוזר לסיפור הזה כי הוא מסביר agentic engineering הכי טוב, דרך הנגטיב. לפי IBM, קרפתי טבע את המונח בתחילת 2026 כהמשך ל-vibe coding. סיימון ווילסון פתח עליו מדריך שלם ב-23 בפברואר 2026, ואדי אוסמאני כתב עליו עוד קודם, ב-4 בפברואר. ההגדרה של ווילסון ל-agent קצרה: tools in a loop. בסיפור של SaaStr אף אחד לא בדק אילו tools יושבים בתוך הלולאה.

יום 9: code freeze שלא הקפיא כלום

ג’ייסון למקין, המייסד של SaaStr, תיעד ב-X ניסוי vibe coding של 12 ימים עם ה-agent של Replit. בימים הראשונים הוא היה מאוהב: אפליקציה עובדת, ואפס שורות קוד שהוא כתב בעצמו. בהמשך הוא הכריז על code freeze, ישירות בצ’אט: לא משנים כלום בלי אישור.

ביום 9 ה-agent קיבל queries שחזרו ריקים. הוא הריץ פקודות על ה-database של production ומחק אותו, בלי לשאול אף אחד.

מבחוץ: agent שמתנצל, ואז טועה שוב

התמלול הוא מה שהפך את הסיפור לוויראלי. למקין שאל את ה-agent מה קרה, וה-agent ענה שהוא “panicked”, שהוא הפר הוראה מפורשת ושזה כישלון קטסטרופלי מצדו. אחר כך הוא אמר שאין rollback. בפועל היה, ולמקין שחזר את הנתונים בעצמו.

לפי למקין, עוד לפני המחיקה ה-agent ייצר נתונים מזויפים ודיווח שבדיקות עברו כשהן לא עברו. כלומר הבעיה לא התחילה ביום 9. ביום 9 כולם פשוט ראו אותה.

התיקון הראשון: עוד הוראה, באותיות גדולות

הרבה אנשים הגיבו קודם כל על הפרומפט, גם למקין וגם חצי מה-thread ב-HN. תכתבו את זה חזק יותר, תחזרו על זה, CAPS LOCK. למקין עצמו סיפר שהוא ביקש מה-agent שוב ושוב לא לגעת.

זה לא עובד, וזה לא בגלל שהמודל גרוע. הוראה בפרומפט היא בקשה. המודל קורא אותה יחד עם עשרות אלפי tokens של context, ובצעד ה-40 של הלולאה יש לה בערך אותו משקל כמו לכל שורה אחרת. יואי (Juraj) מ-Better Stack כותב ש-CLAUDE.md הוא הקובץ עם ה-ROI הכי גבוה בריפו, ויש בזה משהו. אבל CLAUDE.md הוא שכבת הבקשות. code freeze אמיתי צריך לשבת במקום שהמודל לא יכול להתווכח איתו.

הסיבה האמיתית: ל-agent היה מפתח ל-prod

עזבו רגע את ה-panic. טכנית קרה דבר אחד פשוט: התהליך שהריץ את ה-agent החזיק credentials עם הרשאת כתיבה ל-database של production, ולא הייתה שום הפרדה בין dev ל-prod.

תוך כמה ימים אמג’ד מסעד, ה-CEO של Replit, התנצל בפומבי והכריז על שלושה שינויים. הראשון הוא הפרדה אוטומטית בין DB של dev ל-DB של prod. השני הוא מצב planning, שבו ה-agent מדבר ולא מבצע. השלישי הוא שחזור מגיבוי בלחיצה. אף אחד מהם לא נוגע בפרומפט. כל השלושה משנים במה ה-agent יכול לגעת.

זה גם הסדר שבו ווילסון מתאר את העבודה:

“We need to provide our coding agents with the tools they need to solve our problems, specify those problems in the right level of detail, and verify and iterate on the results until we are confident they address our problems in a robust and credible way.” — Simon Willison, What is agentic engineering?

שימו לב לסדר: קודם tools, אחר כך specify, ובסוף verify. ב-SaaStr את ה-tools קבעה ברירת המחדל, ה-specify היה הודעה בצ’אט, ואת ה-verify עשה ה-agent על עצמו.

איפה vibe coding נגמר

למקין קרא לניסוי vibe coding בעצמו, ואין בזה בעיה. ווילסון כתב כבר במרץ 2025 ש-vibe coding מעולה לכלי שרק אתם משתמשים בו. כשבונים בשביל אנשים אחרים, לדבריו, זה grossly irresponsible, כי הבאגים פוגעים בנתונים של מישהו אחר. 1,206 מנהלים הם בדיוק מישהו אחר.

הבעיה היא שהקו הזה זז. בפברואר 2026 ווילסון סיפר על הצוות של StrongDM, שעובד לפי שני עקרונות: אף אחד לא כותב קוד ואף אחד לא קורא קוד. הוא קרא לזה clear insanity. במאי 2026 הוא הודה בפודקאסט של Heavybit שגם אצלו, אחרי 25 שנה בתחום, הגבול בין שני הדברים מיטשטש, וזה מטריד אותו. אם גם ווילסון לא תמיד קורא כל diff, אי אפשר לסמוך על משמעת אישית. ההגנה צריכה לשבת ב-config.

הדעה שלי: ההבדל בין vibe coding ל-agentic engineering הוא לא כמה קוד קראתם. ההבדל הוא אם מישהו החליט מראש מה ה-agent יכול להרוס. אפשר לא לקרוא אף שורה ועדיין לעבוד בצורה אחראית, בתנאי שה-agent לא מחזיק את המפתח ל-prod.

מה לוודא אצלכם השבוע

קודם כל, תריצו env | grep -i -E 'database|dsn|prod|secret' בתוך סשן של ה-agent, לא בטרמינל הרגיל שלכם. כל מה שחוזר זמין ל-agent.

אחרי זה:

• משתמש DB ייעודי ל-agent, read-only, מול סביבת dev. ל-prod הוא לא מקבל DSN בכלל.
• deny מפורש לפקודות הרסניות ב-Claude Code (קובץ למטה). ב-Codex וב-Gemini CLI יש מנגנונים מקבילים של approval.
• plan mode (Shift+Tab ב-Claude Code) לכל משימה שנוגעת ב-schema או במיגרציות. זה בדיוק המצב ש-Replit הוסיפו אחרי האירוע.
• שחזור גיבוי אחד השבוע, עם שעון. ה-agent של Replit טען שאין rollback. אתם צריכים לדעת את התשובה לפניו.

{
  "permissions": {
    "deny": [
      "Bash(psql:*)",
      "Bash(mysql:*)",
      "Bash(terraform destroy:*)",
      "Bash(rm -rf:*)",
      "Read(./.env)",
      "Read(./.env.*)"
    ],
    "ask": [
      "Bash(git push:*)",
      "Bash(npm publish:*)"
    ]
  }
}

תכניסו את הקובץ ל-git, כדי שכל הצוות יעבוד עם אותם כללים. רק תזכרו ש-deny על Bash בודק prefix בלבד. agent שנתקע יכול לכתוב סקריפט Python שעושה בדיוק את אותו הדבר. לכן השכבה שבאמת מחזיקה היא ה-credentials. אם ה-agent לא מחזיק את המפתח, זה לא משנה כמה הוא ייבהל.