בכל ארגון ותיק יש מערכת אחת שעברה יותר ידיים ממה שמישהו מסוגל לספור. מפתח אחד כתב אותה לפני עשרים שנה, ספק חיצוני הוסיף לה מודול, צוות אחר שדרג את בסיס הנתונים, מישהו כתב סקריפט לילי "זמני" שרץ עד היום, ומישהו אחר הוסיף טבלה שאף אחד כבר לא זוכר למה. כל אחד מהם עזב, ומה שנשאר זה קוד שעובד, ושאף אחד לא באמת מבין.
ולכן הכלל במערכות הליבה היה תמיד אותו כלל: לא נוגעים. לא כי אין מה לשפר, אלא כי אין דרך לדעת מה יישבר. אני פוגש את זה כמעט בכל ארגון שאני נכנס אליו. מנהל מערכות המידע יודע שיש שם קוד מת, יודע שיש שם חורים, ויודע שהתיעוד האחרון נכתב בעשור הקודם. אבל לפתוח את זה נראה כמו פרויקט של שנים.
הדבר שהשתנה בשנה האחרונה הוא לא רק שאפשר להחליף מערכת ליבה עם AI. על זה כתבנו כבר במדריך מערכת הליבה כבר לא מפחידה. הדבר החשוב לא פחות הוא שאפשר להבין אותה, בלי להחליף כלום: למפות מה יש בפנים, לזהות מה מת, למצוא את החורים, לתעד הכול, ולהכין אותה ליום שבו סוכן AI יוכל להמשיך לטפל בה בלי שהארגון יהיה תלוי באדם אחד שזוכר איך היא עובדת.
למה הפחד היה מוצדק
הפחד לגעת במערכת ליבה לא נבע מעצלות. הוא נבע משלוש בעיות אמיתיות:
- אף אחד לא יודע מה מחובר למה. שינוי קטן בטבלה אחת יכול להפיל דוח רגולטורי שרץ פעם ברבעון, וזה יתגלה רק ברבעון הבא.
- הידע יושב בראש של אנשים, לא במסמכים. כשהמפתח האחרון שמכיר את המערכת עוזב, הארגון נשאר עם קופסה שחורה.
- המערכת הישנה היא לא פעם החוליה החלשה באבטחה. רשות הסייבר האמריקאית (CISA) מגדירה שימוש בתוכנה שהספק כבר לא תומך בה כאחד הנהלים המסוכנים ביותר, ובדוח של משרד מבקר המדינה האמריקאי (GAO) על מערכות הממשל, ל-7 מתוך 11 המערכות הקריטיות שסומנו להחלפה היו חולשות אבטחה ידועות.
המשמעות: גם מי שלא נוגע, לוקח סיכון. הוא פשוט לוקח סיכון שהוא לא רואה.
ארכיאולוגיה של קוד: מה AI יודע לעשות היום
החלק הכי יקר בעבודה על מערכת ישנה הוא לא כתיבת קוד חדש. הוא הקריאה של הקוד הקיים. כאן הכלים החדשים עשו קפיצה, וזה כבר לא ניסוי:
- מיפוי זרימות ותלויות. לפי Anthropic, כלי כמו Claude Code מזהה את נקודות הכניסה של כל תוכנית, עוקב אחרי מסלולי הריצה דרך תתי השגרות, ממפה את זרימת הנתונים בין המודולים, ומוצא גם צימודים נסתרים, כמו נתונים שעוברים דרך קבצים, טבלאות או משתנים גלובליים, שניתוח רגיל מפספס. ובלשון של החברה: הוא מתעד תהליכים "שאף אחד לא זוכר".
- חילוץ כללים עסקיים. AWS Transform של אמזון מנתח קוד COBOL, מחלץ ממנו את הכללים העסקיים ומייצר מסמכי תיעוד, כחלק מתהליך מודרניזציה של מערכות מחשב מרכזי.
- תיעוד שמתעדכן לבד. גוגל השיקה את Code Wiki, שסורק מאגר קוד, בונה לו ויקי עם תרשימי ארכיטקטורה, ומעדכן את התיעוד אחרי כל שינוי. גוגל עצמה כותבת שקריאת קוד קיים היא אחד מצווארי הבקבוק היקרים ביותר בפיתוח תוכנה.
- זה כבר ברירת מחדל. חברת הייעוץ Thoughtworks העבירה ברדאר הטכנולוגיות שלה מנובמבר 2025 את השימוש ב-AI להבנת קוד ישן לדרגה הגבוהה ביותר, "אמצו", וכתבה שזו כבר "ברירת מחדל מעשית ולא ניסוי".
קוד מת: כמה מהמערכת שלכם בכלל לא רצה
במערכת שעברה עשרים שנה של שינויים, חלק גדול מהקוד הוא שאריות: פונקציות של מוצרים שנסגרו, מסלולים שאף משתמש לא מגיע אליהם, גרסאות ישנות של אותו חישוב שהשאירו "ליתר ביטחון". הקוד הזה לא מזיק כשהוא שקט, אבל הוא מכביד על כל שינוי, מבלבל כל מפתח חדש, ולפעמים מסתיר חולשות אבטחה שאף אחד לא מתחזק.
הדוגמה הכי חזקה מגיעה מMeta. המערכת הפנימית שלה, SCARF, משלבת ניתוח סטטי של הקוד עם נתוני ריצה אמיתיים כדי לזהות קוד שאפשר למחוק בבטחה, ופותחת בקשות שינוי אוטומטיות. בתוך חמש שנים היא מחקה יותר מ-100 מיליון שורות קוד, ביותר מ-370 אלף בקשות שינוי. כשהם עברו מניתוח של כל פונקציה בנפרד לניתוח של כל גרף התלויות, כמות הקוד המת שנמצאה באחד ממאגרי הקוד הגדולים שלהם קפצה בכמעט 50%.
רוב הארגונים לא בנו מערכת כמו של Meta, וגם לא צריכים. מה שמודלי AI מוסיפים היום הוא את היכולת לקרוא את הקוד כמו מפתח: להבין שפונקציה מסוימת שייכת למוצר שנסגר, ששני מודולים עושים בדיוק אותו דבר, או שמסלול מסוים תלוי בדגל שתמיד כבוי. אבל חשוב לזכור: קוד שלא רץ חודש יכול להיות קוד שרץ פעם בשנה, בסגירת שנת הכספים. לכן קוד מת מזהים בשילוב של ניתוח AI ונתוני ריצה לאורך זמן, ומוחקים רק אחרי אישור אנושי.
חורי אבטחה שחיכו עשרים שנה
הנתונים הבאים צריכים להטריד כל מנהל אבטחת מידע, ובאותה מידה לתת לו תקווה:
- צוות OSS-Fuzz של גוגל מצא בעזרת AI חולשה בספריית ההצפנה OpenSSL, אחת הספריות הנבדקות ביותר בעולם. לפי ההערכה של גוגל, החולשה הייתה בקוד כעשרים שנה, ולא הייתה מתגלה בכלי הבדיקה שבני אדם כתבו.
- הסוכן Big Sleep של Google Project Zero ו-DeepMind מצא חולשה ניתנת לניצול ב-SQLite, מנוע בסיס הנתונים הנפוץ בעולם, אחרי שכלי הבדיקה הקיימים לא מצאו אותה. גוגל הגדירה את זה כמקרה הפומבי הראשון שבו סוכן AI מצא חולשה כזו, שלא הייתה ידועה, בתוכנה בשימוש רחב.
- Anthropic דיווחה בפברואר 2026 שהמודל שלה מצא ואימת יותר מ-500 חולשות בחומרה גבוהה בפרויקטים של קוד פתוח. לפי החברה, חלקן לא התגלו במשך עשורים, למרות שהפרויקטים נבדקו בכלים אוטומטיים במשך שנים.
עכשיו תחשבו על מערכת הליבה שלכם. אם בקוד פתוח שאלפי מומחים בודקים כל הזמן מסתתרות חולשות בנות עשרים שנה, מה מסתתר בקוד פנימי שאף אחד לא קרא כבר עשור? החדשות הטובות הן שאותם כלים זמינים היום גם לארגון. החדשות הפחות טובות הן שהם זמינים גם לתוקפים.
בסיסי הנתונים: הטבלאות שאף אחד לא זוכר למה הן שם
הקוד הוא רק חצי מהסיפור. בסיס הנתונים של מערכת ליבה ותיקה הוא לא פעם המקום הכי מבולגן בארגון: טבלאות גיבוי מפרויקט שהסתיים, עמודות שאף אחד לא ממלא, פרוצדורות שמורות שמכילות לוגיקה עסקית קריטית בלי שום תיעוד, ומשימות לילה שמעבירות נתונים בין מערכות.
