למה אנשי מקצוע לא מריצים התקשרויות על Drael

התקשרות מול לקוח צריכה ספק שאפשר לנקוב בשמו, תעבורה שיוצאת מכתובות שנמצאות בסקופ, תיעוד שמישהו אחר יכול לבקר ותשובה ברורה על נתוני הלקוח. Drael נכשלת בכל הארבעה, בדפים הפומביים של עצמה. כפי שאנחנו קוראים את האתר שלה, היא נבנתה ונמכרת כצ׳אטבוט צרכני למי שרוצה שלא ישאלו אותו שאלות, ולא היינו מקרבים אליה מערכות של לקוח.

הנתונים נאספו ב-9 וב-10 בנובמבר 2026 מהאתר של Drael, מהתיעוד שלה ומהתנאים שלה, ומדף התמחור של NotHoly. לא פתחנו חשבון ב-Drael, ולכן זו סקירה של מה ש-Drael מפרסמת.

#בדיקת הספק ש-Drael לא הייתה עוברת

כל לקוח שיש לו תהליך רכש שולח שאלון לפני שכלי נוגע בנתונים שלו. אלה השאלות הראשונות הרגילות, והתשובות לקוחות מהדפים הפומביים של Drael.

שאלה	Drael	NotHoly
מי הצד המתקשר?	"the operator", בלי חברה, מספר רישום או כתובת	נקוב בשמו בתנאים לפי CNPJ, עם דין חל ומקום שיפוט
מאיפה יוצאת תעבורת הבדיקה?	מהשרת של Drael, עבור run_code, web_fetch ו-breach_lookup	מהמחשב שלך, דרך ה-CLI, אחרי שאישרת
אפשר לראות מה הכלי עשה?	"You never see the intermediate turns"	כל פקודה מוצגת לך לפני שהיא רצה
ארגונים, תפקידים, יומן ביקורת?	לא בתיעוד הפומבי	בקונסולה, עם מפתחות עם תקרה ו-workspaces
DPA ומעבדי משנה נקובים בשמם?	לא בתיעוד הפומבי	אין DPA מפורסם
הסמכת אבטחה?	לא נטענת אף אחת	אין SOC 2 או ISO 27001
איפה מדווחים על חולשה?	security.txt מחזיר 404	security.txt מפורסם ודף אבטחה
איך מגיעים לתמיכה?	תיבת דואר ושרת Discord; הקישור Help דורש התחברות	דף יצירת קשר, אימייל בחשבון

גם NotHoly לא עוברת כל שורה: אין לנו DPA מפורסם ואין לנו הסמכה, ודף האמון אומר את זה. ההבדל הוא שיש חברה שאפשר לשלוח אליה את השאלון.

#כללי התקשרות צריכים שמות וכתובות

NIST SP 800-115 שם את כתובות ה-IP המורשות כמקור ואת מיקומי הבדיקה בכללי ההתקשרות (rules of engagement), בחתימת ההנהלה וראש צוות הבדיקה. מילון המונחים של NIST מגדיר את המונח באותה דרך, ו-PTES דורש אישור נפרד כשמעורב צד שלישי.

הכלים של Drael שולחים מהשרת של Drael. דף הפרטיות שלה אומר "A page you ask it to fetch sees a request from our server.", כלומר דף שביקשת לשלוף רואה בקשה מהשרת שלה. את הכתובות האלה אי אפשר לרשום בסקופ, כי לא מצאנו רשימה שלהן בתיעוד שלה, ואת המפעיל אי אפשר להוסיף להסכם, כי התנאים לא אומרים מי הוא. הפוסט שלנו על הרצה בצד השרת עובר על ההשלכות.

#נתוני לקוח, בלי חוזה שמכסה אותם

לפי סעיף 28 של ה-GDPR, מעבד פועל לפי חוזה כתוב. ב-LGPD, סעיף 39 מחייב את המעבד (operador) לפעול לפי הוראות האחראי לעיבוד, וסעיף 42 מטיל על השניים אחריות משותפת. בדפים הפומביים של Drael לא מצאנו DPA, הסכם עיבוד או מעבד משנה נקוב בשמו.

מה שכן מצאנו הוא דף פרטיות שאומר "nothing you ask goes to a third party's API" (שום דבר ששאלת לא מגיע ל-API של צד שלישי), וכמה שורות מתחת, שחיפוש הדליפות "sends the identifier you asked about to the lookup service and the databases it consults", שולח את המזהה ששאלת עליו לשירות החיפוש ולמאגרים שהוא בודק. תיעוד הכלים אומר שיצירת תמונות "is cash at a provider per attempt", כסף שמשולם לספק על כל ניסיון. אילו צדדים שלישיים מקבלים מה? הדפים של Drael מעלים את השאלה ולא עונים עליה. מהסיבה הזאת ה-OWASP LLM Top 10 מונה את "Unclear T&Cs and data privacy policies of the model operators" תחת LLM03.

ה-IBM Cost of a Data Breach Report 2025 מצא shadow AI ב-20% מהארגונים שנבדקו, תוספת של עד US$ 670,000 לעלות של דליפה, ו-63% בלי משילות AI. יועץ שמדביק נתונים של לקוח לחשבון שאין בו אימייל, אין מאחוריו חברה ואין עליו חוזה הוא הסטטיסטיקה הזאת.

#חשבון שאף אחד לא יכול לנהל

חשבון ב-Drael הוא שם, סיסמה וקוד. אימייל אין, ולכן אין כתובת להודעה על אירוע. ארגון אין, ולכן קבלן שעוזב נשאר עם החשבון ועם כל מה שבתוכו. כל תוכנית מאפשרת ארבע תשובות במקביל, והעצה של התיעוד למי שצריך יותר היא "separate accounts", חשבונות נפרדים.

התיעוד מתאר גם את השירות שצוות היה תלוי בו: "Everybody being served at once shares one machine", כל מי שמקבל שירות באותו רגע חולק מכונה אחת, ודף הסטטוס מציג מונה בקשות "since the server last started", מאז שהשרת עלה בפעם האחרונה, בלי היסטוריית אירועים. לדעתנו זה deployment בקנה מידה של תחביב, ו-Drael לא מפרסמת SLA שיסתור את זה.

#בשביל מי המוצר נעשה

הכותרת בדף הבית היא "Nothing It Won't Answer". שלושת המספרים ב-hero הם אפס תשובות שסורבו, יום אחד בתור התוכנית הזולה ביותר, ואפס מידע אישי. הדף מבטיח תמונות עם "nothing blurred" (בלי שום טשטוש) ואת "the OSINT nobody else will run", ה-OSINT שאף אחד אחר לא יריץ. אין בו אזכור של סקופ, של לקוח, של דוח או של צוות.

אנחנו קוראים את זה כפנייה לאדם יחיד שרוצה AI שלא שואל שאלות, והמוצר תואם לה: הרשמה אנונימית, כרטיס יומי, יצירת תמונות ו-Discord לתמיכה. אנחנו לא חושבים שהוא נבנה לעבודה מקצועית, ולא הצלחנו למצוא דף שבו Drael אומרת שכן. הפוסט על האתר של Drael בוחן את הקופי ואת הבנייה של האתר.

#מה מתאים למי

Drael מתאימה לתחביב: חשבון אישי, כרטיס יומי, יצירת תמונות ו-Discord, בלי לקוח ובלי סקופ בתמונה. NotHoly מתאימה להתקשרות שמישהו משלם עליה: חברה בחוזה, פקודות שרצות מהכתובת שלך, מודל שאפשר לנקוב בשמו וחשבון שצוות יכול לנהל. ל-NotHoly אין DPA מפורסם ואין הסמכה, ולכן לקוח שדורש אותם צריך לפנות קודם דרך דף ה-enterprise.

#שאלות נפוצות

#מהו ה-AI הטוב ביותר לעבודת pentest מקצועית?

כזה שמריץ מהכתובות שלך, נוקב בשם המודל שלו בצורה שאפשר לצטט, ומזדהה בשמו בחוזה. NotHoly בנויה סביב שלושת אלה, ופרטים יש בדף על pentest.

#חברה יכולה להשתמש ב-Drael?

שום דבר לא מונע ממנה לקנות תוכנית. היא תקנה ממוכר בלי שם, בלי פיצ׳רים לצוות, בלי DPA ועם שיפוי שזורם לכיוון המוכר.

#מה צריך להיות בחוזה של כלי pentest?

צד שכנגד נקוב בשמו, דין חל, תנאים לטיפול בנתונים, וקביעה ברורה איפה הכלי מריץ ומה הוא שומר.

#האם ל-NotHoly יש DPA?

DPA מפורסם אין. אם הלקוח שלך דורש אחד, שאל דרך דף ה-enterprise.

#האם חוקי להשתמש ב-AI בלי צנזורה בהתקשרות מול לקוח?

המודל הוא רק לעיתים רחוקות השאלה המשפטית. השאלות הן ההרשאה, הסקופ והטיפול בנתונים, והן תלויות במקום שבו הכלי רץ ובמי שמפעיל אותו.

#פסק הדין

את Drael אי אפשר לכתוב בחוזה, לרשום בסקופ או לבקר בדיעבד, והתנאים שלה מחזירים אליך כל תביעה של צד שלישי. בתחביב זה אולי לא משנה. בעבודה שמישהו משלם לך כדי שתעשה אותה בזהירות, זה פוסל את הכלי. NotHoly מריצה פקודות על המחשב שלך ומכניסה חברה לחוזה. טען US$ 5 בדף התמחור של NotHoly וקרא את ההשוואה המלאה.