מחברי MCP נותנים ל-Claude לקרוא את כל מה שנאמר בחברה

זום (Zoom), Fireflies ומיקרוסופט (Microsoft) פתחו ל-Claude גישה ישירה לתמלולי הפגישות שלכם. האישור עצמו לוקח פחות מדקה: נכנסים להגדרות של Claude, בוחרים בלשונית Connectors, מאשרים מסך OAuth וחוזרים לחלון השיחה. מהרגע הזה כל שיחת מכירות, כל ראיון עבודה וכל ישיבת הנהלה שהוקלטה לענן היא דבר שאפשר לשאול עליו שאלה בעברית ולקבל תשובה תוך שניות. שום מידע חדש לא נוצר בדרך, והכול היה שמור ומגובה גם קודם. מה שהשתנה הוא המחיר של להוציא משם משפט אחד רלוונטי, והוא צנח משעתיים של סריקת הקלטות לשלוש שניות של הקלדה.

רגע, מה זה MCP?

MCP, ראשי תיבות של Model Context Protocol, הוא תקן פתוח שאנטרופיק (Anthropic) פרסמה בנובמבר 2024. מאז אימצו אותו גם OpenAI, מיקרוסופט, Cursor ורוב סביבות הפיתוח. התיעוד הרשמי של התקן מתאר אותו כשקע USB-C לאפליקציות AI, וההשוואה מדויקת יותר ממה שהיא נשמעת. במקום שכל כלי AI יכתוב אינטגרציה ייעודית לכל מערכת שהוא רוצה לגעת בה, השירות מפרסם שרת MCP אחד. כל לקוח שמדבר בפרוטוקול מתחבר לשרת ורואה אילו כלים מותר לו להפעיל, אילו משאבים אפשר לקרוא, ולפעמים גם אילו פרומפטים מוכנים מחכים שם.

זה כל התקן, ושווה לומר את זה במפורש. מסביב ל-MCP נבנתה שכבת שיווק שמתארת אותו כאילו המודלים עצמם קיבלו יכולת חדשה, והם לא קיבלו. Claude ב-9 באפריל 2026 ידע בדיוק את מה שידע יום קודם, ומה שהשתנה הוא כמה קל להזרים אליו את המערכות הפנימיות של הארגון. את ההזרמה הזאת מאשר לרוב העובד עצמו, מול מסך OAuth, כלומר מסך ההרשאה של השירות עצמו, בלי שאיש נוסף בארגון יידע שזה קרה.

מה נפתח בפועל, ובאילו תנאים

זום השיקה את המחבר הרשמי שלה ל-Claude ב-9 באפריל 2026. בתיעוד למפתחים מפורט מה הוא חושף: חיפוש בפגישות, בצ’אט ובקנבס של זום, וגישה לנכסי ההקלטה עצמם, כלומר תמלולים, סיכומים, רשימות המשך וכתובות לצפייה חוזרת. באותו תיעוד יושבים גם שלושה תנאים שקל לפספס בקריאה מהירה:

• הפגישה הוקלטה לענן דרך Smart Recording.
• פיצ’רי AI Companion מופעלים בחשבון.
• אתם הייתם המארחים, או שמישהו נתן לכם הרשאה במפורש.

X.D. Huang, ה-CTO של זום, ניסח את ההיגיון של המהלך בלי לסבך: “AI becomes far more useful when it can access real-world context and act on it”.

Fireflies הקדימה את כולם עם מחבר שהושק באוגוסט 2025, שעובד מול שרת ב-api.fireflies.ai/mcp דרך OAuth. הוא זמין בדפדפן, בדסקטופ, במובייל וגם ב-Claude Code. Granola, שמריצה שרת מתארח משלה, עושה הבחנה ששווה להתעכב עליה. במסלול החינמי נפתחים שלושים הימים האחרונים בלי תמלולים כלל, תמלולים מלאים נפתחים רק במסלול העסקי, ובמסלול הארגוני MCP מושבת כברירת מחדל עד שמנהל מפעיל אותו ידנית. ההדרגה הזאת היא הודאה של ספק בכך שגישה לתמלולים היא סוג אחר של גישה, ושמישהו בארגון צריך להחליט עליה במקום שהיא תיפול מאליה.

מיקרוסופט הלכה בכיוון ההפוך. באפריל 2026 היא הרחיבה את מחבר Microsoft 365 לכל מסלולי Claude, כולל החינמי, ובכך פתחה גישה למיילים ב-Outlook, לקבצים ב-SharePoint וב-OneDrive, ולצ’אטים ולתמלולי הפגישות ב-Teams.

מה ההרשאות באמת מכסות

כל ספק חוזר על אותו משפט מרגיע. אנטרופיק כותבת בתיעוד המחברים ש-Claude יורש את ההרשאות של כל אדם מהשירות המחובר, ומדגישה ש”even when you allow a write action in Claude, a person still needs the underlying permission in the source system”. מדריך האבטחה של מחבר Microsoft 365 מוסיף שהמשתמש לא יכול לעקוף הגדרות שיתוף של SharePoint. המידע נשאר ב-tenant של הארגון, כלומר בסביבת הענן הנפרדת שלו, והמחבר לא שומר תוכן במטמון. כל האמירות האלה נכונות, וכולן הגנה אמיתית שעובדת בדיוק כפי שהיא מתוארת. הקושי מתחיל במקום שבו הן נגמרות.

הרשאות ההקלטות ברוב החברות מעולם לא נבנו כגבול אבטחה. אף אחד לא ישב וסימן בקפידה מי רשאי לצפות באיזו הקלטה, כי ההנחה מתחת לכל הסידור הזה הייתה שלאיש לא תהיה סיבה לטרוח. מאות שעות וידאו היו מוגנות היטב על ידי השעמום שבצפייה בהן, וזו הייתה שכבת ההגנה שעבדה בפועל. ברגע שהחיכוך נעלם, אותה קבוצת הרשאות רופפת נשארת לבדה מול מנוע חיפוש מיידי בכל מה שנאמר בחברה מאז שהתקינו את זום.

יש כאן פער נוסף, וקשה הרבה יותר לסגור אותו. בקרת גישה קלאסית עונה על שאלה שמתייחסת לאובייקט, כלומר האם למשתמש הזה מותר לפתוח את הקובץ הזה. ממשק שאילתות עונה על שאלה אחרת לגמרי, מה מותר למשתמש הזה לדעת. תשובה שנרקחת משבע פגישות, שלכל אחת מהן יש למשתמש הרשאה לגיטימית, יכולה להכיל מסקנה שאף אחת מהן לא מכילה בפני עצמה. לפעמים זו בדיוק המסקנה שמישהו טרח לפצל בין שבע שיחות נפרדות, ולאף מערכת הרשאות מסחרית אין היום מודל שיודע לטפל בזה.

תמלול הוא טקסט שלא בדקתם

סיימון ויליסון (Simon Willison) טבע את המונח the lethal trifecta לתיאור שלושה תנאים שכשהם מתקיימים יחד המערכת פגיעה מעצם המבנה שלה, ולא בגלל באג שאפשר לתקן. השלושה הם גישה למידע פרטי, חשיפה לתוכן שמקורו לא מהימן, ויכולת לתקשר החוצה. ארכיון תמלולים מספק את שני הראשונים באותה לחיצה. הוא מידע פרטי מובהק, והוא גם תוכן שנכתב על ידי מי שדיבר בשיחה. ברוב הפגישות המעניינות מי שדיבר אינו עובד שלכם, אלא מועמד לעבודה, ספק או לקוח פוטנציאלי שביקש שיחת היכרות. כל אחד מהם יכול לומר משפט שיהפוך לטוקנים שהסוכן שלכם קורא בשקט חודשיים אחר כך.

ויליסון מנסח את הבעיה היסודית כך: “LLMs are unable to reliably distinguish the importance of instructions based on where they came from”. על MCP עצמו הוא מעיר שהתקן “encourages users to mix and match tools from different sources that can do different things”, כלומר שהוא מקל על משתמש להרכיב בטעות את שלושת התנאים בסביבה אחת, בלי שהתכוון לכך בכלל.

התקדים של Asana

יש גם תקדים לכשל פשוט הרבה יותר, בלי שום תוקף ובלי שום הזרקה. אסאנה (Asana) השיקה שרת MCP ב-1 במאי 2025, וב-4 ביוני גילתה באג בבדיקת בידוד הדיירים, כלומר במנגנון שמפריד בין הנתונים של ארגון אחד לשני. הבאג אפשר למשתמשים לראות משימות, תגובות וקבצים של ארגונים אחרים באותה מערכת, והשרת הושבת עד ה-17 ביוני. דובר החברה אישר ל-BleepingComputer שכ-1,000 לקוחות הושפעו. זה היה מוצר צעיר עם באג, וזה בדיוק סוג הכשל שנכון להניח שיחזור על עצמו בקטגוריה שכל המוצרים בה בני שנה או שנתיים. אנטרופיק אומרת את זה בתיעוד בלי לרכך: “Only connect to servers from trusted organizations”.

מה עסק ישראלי צריך להחליט לפני שהוא מחבר

תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 בספטמבר 2025. איתו קיבלה הרשות להגנת הפרטיות סמכות להטיל בעצמה עיצומים כספיים מנהליים, סמכויות פיקוח וחקירה מורחבות ופרק שלם של עבירות פליליות חדשות. ארכיון תמלולים שמכיל שמות של לקוחות ומועמדים, פרטי קשר ותוכן שיחות מלא הוא בדיוק סוג המאגר שהתיקון מדבר עליו. חיבור מחבר MCP אליו הוא החלטה על עיבוד המידע הזה ועל העברתו לצד שלישי, גם כשמבפנים היא נראית כמו החלטה על הנוחות של איש מכירות אחד.

ההקלטה עצמה חוקית בישראל כשאחד המשתתפים יודע עליה, בשונה ממדינות מסוימות בארה”ב שדורשות את הסכמת כל הצדדים. ההיתר הזה מתייחס לפעולת ההקלטה בלבד. הוא שותק לגמרי בשאלה מה קורה לתמלול אחרי שהשיחה נגמרה, מי יוכל לשאול עליו שאלות בעוד שנתיים, ואיזה שירות ענן נוסף יקרא אותו בדרך. מה שאמרתם ללקוח בפתיחת הפגישה, אם אמרתם משהו מעבר ל”אני מקליט”, לא כיסה אף אחת מהשאלות האלה ולא התיימר לכסות אותן.

ההחלטות שצריך לקבל לפני שמאשרים את המסך אינן החלטות טכניות. ארבע מהן שווה לסגור בכתב:

• מה בכלל נכנס לארכיון. שיחות שכר, שימועים, ייעוץ משפטי ופגישות מייסדים לא צריכים להיות מוקלטים לענן כברירת מחדל רק משום שהכפתור נוח.
• כמה זמן תמלול חי. אין לשאלה הזאת ברירת מחדל טובה, אלא רק מדיניות שמישהו טרח לכתוב.
• מי מורשה לשאול. זו שאלה נפרדת לחלוטין מהשאלה מי מורשה לצפות בהקלטה, ואף מערכת לא מנהלת אותה היום.
• מי מאשר מחבר חדש. האישור צריך לעבור דרך מנהל, ולא דרך כל עובד שנתקל במסך OAuth נוח.

הצעד האחרון הוא היחיד שהוא באמת טכני: לנעול את המחבר לקריאה בלבד. בעלי ארגון במסלולי Team ו-Enterprise יכולים לאכוף את זה מהגדרות הארגון, וזו הפעולה שהכי כדאי לעשות עוד לפני שמישהו בצוות מגיע ללשונית Connectors.

ארכיון ההקלטות היה עד עכשיו ערימת קבצים שאיש לא נגע בהם, ורוב הארגונים ניהלו אותו בהתאם, כלומר כמעט בכלל. ברגע שמחברים אליו ממשק שאילתות הוא מפסיק לתפקד כאחסון ומתחיל לתפקד כזיכרון ארגוני, כזה שעונה על שאלות ושאנשים יביאו את התשובות שלו לישיבות ויבנו עליהן. שווה לבדוק השבוע מי בארגון שלכם כבר לחץ על האישור הזה, ומה נפתח לו בפועל. ההחלטה על החיבור היא בפועל ההחלטה על כמה הארגון זוכר ומי רשאי לחקור את הזיכרון הזה.