העליתם קוד לגיטהאב והוא נחשף? מה הבינה המלאכותית לא סיפרה לכם

מאת עו"ד גיא אופיר · 2026-10-21

אתם מבקשים מצ'אט של בינה מלאכותית לבנות לכם כלי קטן: בוט לוואטסאפ, אוטומציה לחשבוניות או אתר לעסק. אחרי כמה דקות מגיעה ההמלצה: "עכשיו העלו את הקוד לגיטהאב". אתם פותחים חשבון, לוחצים על כמה כפתורים, והקוד באוויר.

מה שלא שמתם לב אליו: בתוך הקוד ישבו סיסמה, מפתח גישה או קובץ עם פרטי לקוחות, והמאגר הוגדר כציבורי. מניסיוננו, רוב מי שעובדים היום עם כלי בינה מלאכותית אינם מודעים לסכנה, ואינם מקפידים על כללי בטיחות בסיסיים.

אז כמה אפשר לסמוך על גיטהאב? מה עושים כשמשהו כבר נחשף? ומי אחראי – אתם, גיטהאב, או מי שניצל את המידע?

בקצרה: גיטהאב מתייחסת למאגר פרטי כחסוי, אבל תנאי השימוש שלה מטילים עליכם את האחריות לתוכן ולאבטחת החשבון, ומגבילים מאוד את אחריותה. אם נחשף סוד, הצעד הראשון הוא להחליף אותו מיד, כי מחיקת הקובץ לבדה בדרך כלל אינה מספיקה. ואם נחשף מידע אישי של אחרים, ייתכן שחלות עליכם חובות דיווח לפי דיני הגנת הפרטיות.

למה העלאה לגיטהאב עלולה לחשוף אתכם?

כי מאגר ציבורי בגיטהאב גלוי לכל העולם. "מאגר" (Repository) הוא התיקייה שבה נשמר הקוד וכל היסטוריית השינויים שלו. לפי תנאי השימוש של גיטהאב, מי שבוחר במאגר ציבורי מורה לה בעצם להנגיש את התוכן לכל מי שמחובר לאינטרנט, ומתיר למשתמשים אחרים להעתיק אותו לחשבונות שלהם (Fork).

הטעויות הנפוצות פשוטות: בחירה במאגר ציבורי במקום פרטי, סיסמאות שנכתבו בתוך הקוד, קובץ הגדרות שעלה יחד עם כל השאר, או קובץ נתונים של לקוחות שנשכח בתיקייה.

פרשה שפורסמה בתקשורת בחודש האחרון ממחישה את הסיכון. לפי הדיווחים , יונתן אוריך, יועצו של ראש הממשלה, בנה כלי לניטור תקשורת, וקוד המקור שלו נותר חשוף ברשת, כולל מפתחות גישה ומזהים של קבוצות וואטסאפ. בדיווחים הוזכר גם חיבור חשבון הוואטסאפ שלו לשירות חיצוני, ולא נקבע מה מבין השניים הוביל לדליפת ההתכתבויות שפורסמה לאחר מכן. הלקח רחב יותר מהפרשה עצמה: מי שבונה מהר ומעלה לרשת בלי לבדוק, עלול לחשוף הרבה יותר ממה שהתכוון.

איך מעלים קוד לגיטהאב ושומרים על פרטיות?

הכלל הוא לבדוק מה עולה, לאן, ולמי זה גלוי – לפני כל העלאה. בפועל:

1. מאגר פרטי כברירת מחדל. בדקו את הגדרת הנראות (Visibility) לפני ההעלאה הראשונה ואחריה.
2. אין סודות בתוך הקוד. סיסמאות, מפתחות API וטוקנים נשמרים במשתני סביבה או בכלי לניהול סודות, לא בקבצי הקוד.
3. קובץ ‎.gitignore. קובץ שמגדיר אילו קבצים לעולם לא יעלו, כמו קובצי הגדרות, גיבויים וקובצי נתונים.
4. להעלות קבצים אחד-אחד. פקודות שמעלות "הכול" הן המקור לרוב התקלות. עברו על רשימת הקבצים לפני השליחה.
5. הגנת הדחיפה (Push Protection). לפי התיעוד של גיטהאב , ההגנה למשתמשים פעילה כברירת מחדל, אבל היא חוסמת רק סודות שהיא מזהה, ורק בהעלאה למאגרים ציבוריים. רשימת לקוחות אינה "סוד" מבחינתה.
6. מידע אישי לא עולה לגיטהאב. גם לא למאגר פרטי.
7. כשה-AI ממליץ להעלות – עצרו. בקשו ממנו לסרוק את הקוד לאיתור סיסמאות ופרטים אישיים, ובדקו גם בעצמכם.

מה אומרים תנאי השימוש של גיטהאב – כמה אפשר להיות רגועים?

במאגר פרטי – יחסית, אבל האחריות נשארת שלכם. כך עולה מתנאי השימוש בנוסחם מ-27 באפריל 2026:

בנוסף, גיטהאב עשויה להידרש על פי דין למסור גם תוכן של מאגר פרטי. ומעבר לטבלה:

• אחריות. אתם אחראים לתוכן שהעליתם ולכל נזק שנובע ממנו, וגם לאבטחת החשבון. גיטהאב מספקת את השירות "כמות שהוא", בלי התחייבות לאבטחה, ומגבילה את אחריותה גם לגישה בלתי מורשית לנתונים. בנוסף, אתם מתחייבים לשפות אותה.
• דין וסמכות. ההסכם כפוף לדין קליפורניה ולבתי המשפט בסן פרנסיסקו, אלא אם הדין החל קובע אחרת.

נחשף משהו – מה עושים עכשיו?

קודם מנטרלים את הנזק, ורק אחר כך מנקים. הסדר חשוב:

1. מחליפים מיד כל סוד שנחשף. סיסמה, מפתח או טוקן – מבטלים ומנפיקים חדש. המדריך של גיטהאב להסרת מידע רגיש קובע שזה הצעד הראשון, ולעיתים הוא מספיק.
2. סוגרים את הדלת. הופכים את המאגר לפרטי או מסירים את הקובץ, בידיעה שזה לא מוחק את העבר.
3. מנקים את ההיסטוריה. המידע נשאר בהיסטוריית השינויים, בעותקים שאחרים יצרו ובתצוגות שמורות. ניקוי ההיסטוריה נעשה בכלי ייעודי, ואחריו פונים לתמיכה של גיטהאב כדי להסיר תצוגות שמורות. התמיכה מסייעת רק כשהחלפת הסוד אינה מספיקה כדי לנטרל את הסיכון.
4. מטפלים בעותקים. גיטהאב לא מסירה עותקים באופן אוטומטי. לפי מדיניות הסרת המידע הפרטי שלה, הבקשה צריכה לכלול קישור לכל קובץ, מספרי שורות והסבר מפורט מדוע המידע יוצר סיכון אבטחה, וגם לציין במפורש את העותקים.
5. מתעדים הכול. צילומי מסך, שעות, מי צפה ומה נעשה. התיעוד ישמש אתכם מול הרשות, מול מבטחים ומול בית המשפט.

מה החוק מחייב אם נחשף מידע של אחרים?

מי שנחשף הוא בדרך כלל קורבן: לחוץ, מבוהל ולעיתים בסיכון כלכלי. אבל החוק כוחני. הוא מחייב דיווח מהיר ופעולות חירום, ומי שלא עומד בהם חשוף לעיצומים כספיים ולתביעות. לדעתנו זה עצוב: אתם גם קורבן במצוקה, וגם הרשות מתחילה לתקוף אתכם.

לפי תקנה 11(ד) לתקנות הגנת הפרטיות (אבטחת מידע), באירוע אבטחה חמור חייב בעל השליטה במאגר להודיע לרשות להגנת הפרטיות באופן מיידי ולדווח על הצעדים שננקטו. לפי התוספת השלישית לחוק, החובה חלה גם על מי שמחזיק במאגר עבורו. הרשות רשאית גם להורות להודיע לאנשים שעלולים להיפגע. "אירוע אבטחה חמור" מוגדר בתקנה 1 לפי רמת האבטחה של המאגר והיקף המידע שנפגע, ולכן החובה חלה ככלל על מאגרים ברמת אבטחה בינונית או גבוהה.

אי-דיווח עלול לעלות ביוקר. לפי סעיף 23כו(ח) לחוק הגנת הפרטיות  והתוספת השלישית לחוק, העיצום על אי-דיווח הוא 81,890 ₪ במאגר ברמת אבטחה בינונית ו-327,560 ₪ ברמה גבוהה. בנוסף, מי שהמידע שלו נחשף עשוי לתבוע: סעיף 29א לחוק מאפשר פיצוי של עד 50,000 ₪ (צמוד למדד) בלא הוכחת נזק בתביעה על פגיעה בפרטיות, וייתכן שיחול גם על חשיפה כזו, לפי הנסיבות.

אילו אפשרויות משפטיות יש לכם?

הן תלויות במי שעומד מולכם:

• מי שניצל את המידע. שימוש בסיסמה שדלפה כדי להיכנס למערכת שלכם עלול להיות חדירה לחומר מחשב שלא כדין לפי סעיף 4 לחוק המחשבים. גם מי שמפיץ סיסמאות או קודי גישה כדי שאחרים יבצעו פעולה כזו עלול לעבור עבירה לפי סעיף 6(ב) לאותו חוק. אפשר לשקול תלונה במשטרה וגם הליך אזרחי.
• מי שמפיץ את המידע הלאה. פנייה להסרה מהפלטפורמות, ובמקרה הצורך בקשה לצו מניעה ותביעה לפי דיני הפרטיות, כולל פיצוי בלא הוכחת נזק לפי סעיף 29א. שימו לב: זה אותו מסלול שעלול לשמש גם נגדכם, אם המידע שנחשף אצלכם הוא של לקוחות או של אחרים.
• גיטהאב עצמה. קודם כול בקשת הסרה מסודרת. עדיין לא יצא לנו לפנות לגיטהאב בעניין כזה, אבל אנחנו מייצגים מול תאגידים רב-לאומיים, ומניסיוננו לרוב מתקבל מענה סביר. כשלא, מגישים תביעה בישראל נגד התאגיד.
• ביטוח. לדעתנו, מי שעובד מסחרית עם בינה מלאכותית חייב להחזיק ביטוח אחריות מוצר וגם ביטוח סייבר. אם יש לכם פוליסה, בדקו מה היא מכסה והודיעו למבטח מוקדם.

שאלות נפוצות

האם מאגר פרטי בגיטהאב באמת פרטי?

כלפי הציבור – ככלל כן. גיטהאב מתחייבת לשמור על סודיות המאגר, אך שומרת לעצמה גישה לצורכי אבטחה, סריקה אוטומטית, תמיכה וחובות חוקיות. תוכן ממאגר פרטי שאתם מזינים לכלי ה-AI שלה עשוי לשמש לאימון, אלא אם ביטלתם זאת בהגדרות.

מחקתי את הקובץ מהמאגר. זה מספיק?

בדרך כלל לא. הקובץ נשאר בהיסטוריה של המאגר, בעותקים שנוצרו ממנו ובתצוגות שמורות. אם נחשף סוד, החליפו אותו מיד; אחר כך נקו את ההיסטוריה ופנו לגיטהאב לפי הצורך.

האם אני חייב לדווח לרשות להגנת הפרטיות?

תלוי. אם נחשף מידע אישי ממאגר שחלה עליו רמת אבטחה בינונית או גבוהה, ייתכן שמדובר באירוע אבטחה חמור שמחייב הודעה מיידית לרשות. כדאי לבחון זאת מוקדם ככל האפשר.

אפשר לתבוע את גיטהאב?

האפשרות קיימת אך מוגבלת. תנאי השימוש מטילים את האחריות לתוכן עליכם ומגבילים מאוד את אחריות גיטהאב. מניסיוננו, פנייה מסודרת לתאגיד נענית לרוב באופן סביר, וכשלא – אפשר לבחון תביעה בישראל.

סיכום

גיטהאב היא כלי מצוין, אבל היא לא מגינה עליכם מפני עצמכם. לפני שאתם מעלים קוד בעצת בינה מלאכותית, בדקו מה עולה ולמי הוא גלוי. ואם משהו כבר נחשף, פעלו מהר ובסדר הנכון: קודם להחליף סודות, אחר כך לנקות, ובמקביל לבחון את חובות הדיווח.

אם נחשף אצלכם קוד או מידע, או שאתם לפני העלאה של מערכת שמחזיקה מידע של לקוחות, אנחנו מטפלים בסוגיות של דיני אינטרנט ושל פרטיות ואבטחת מידע. צרו קשר לבחינת המקרה.[C19] 

*המידע במאמר זה הוא מידע כללי בלבד ואינו מהווה ייעוץ משפטי. כל מקרה נבחן לפי נסיבותיו.*