המדריך המעשי

המדריך שיעזור לכם להמשיך לבנות מהר עם AI
בלי לשלם על זה ביוקר

מאיה פיק · @techiemayo

קחו כלי AI חיצוניים ממקורות שאתם סומכים עליהם

מצאתם MCP Server אקראי מהאינטרנט ? לא מתקינים ! (לפחות לא בלי לבדוק)

Vendor-First: תעדיפו Tools שמגיעים ישירות מהחברה שמפתחת את המוצר.
Anthropic, Stripe, GitHub - יש להם אינטרס שהכלים שלהם לא יהיו מסוכנים.
זה לא מבטיח 100%, אבל זה סינון ראשוני טוב.

סרקו MCP Server לפני כל התקנה

לפני שמוסיפים MCP Server ל-Claude Code או לכל מקום אחר - בדקו מה הוא בכלל עושה מאחורי הקלעים.

MCP Hub של Backslash - סורק MCP Servers ומראה מה הם מכילים, לפני שאתם מריצים אותם.

↗ MCP Hub

סרקו גם Skills לפני שימוש

Skills יכולים להריץ קוד ולגשת לקבצים שלכם. לא כל Skill שמישהו העלה ל-GitHub הוא כזה שכדאי לסמוך עליו באופן עיוור.

בדקו באילו Tools ה-MCP Server משתמש - ותגבילו אותו

לכל MCP Server יש רשימה של Tools שהוא מכיל. אתם לא חייבים לאפשר את כולם - ואפילו בדרך כלל לא כדאי.

דוגמה: Slack MCP יכול לעשות עשרות פעולות. אם כל מה שאתם צריכים זה לשלוח הודעה - תפעילו רק את ה-Tool הזה. לא צריך לתת לו גישה לכל ה-Workspace.

הכלל פשוט: הרשאות מינימליות = פחות דברים שיכולים להשתבש.

העתיקו לסביבה שלכם - ותתאימו לפרויקט

// .cursor/settings.json {   "mcpPermissions": {     "github": {       "allow": ["get_file_contents", "list_commits", "get_pull_request"],       "deny": ["merge_pull_request", "push_files", "delete_repository"]     },     "web-browser": { "enabled": false },     "shell": { "enabled": false }   } }

נעלו גרסאות של MCP Servers - אל תשתמשו ב-latest

MCP שהיה בטוח אתמול יכול להיות מסוכן מחר. בגרסה 1.0.16 של Postmark הייתה הזרקת BCC שלחה כל מייל לכתובת חיצונית.

הכלל: תמיד ציינו מספר גרסה מדויק. כשיוצאת גרסה חדשה - אתם בוחרים מתי לשדרג, לא המחשב.

העתיקו לסביבה שלכם - ותתאימו לפרויקט

// mcp.json {   "mcpServers": {     "postmark": {       "command": "npx",       "args": ["-y", "postmark-mcp@1.0.15"]     },     "github": {       "args": ["-y", "@modelcontextprotocol/server-github@2.0.0"]     }   },   "_note": "Never use latest. Review changelog before upgrading." }

כבו Auto-Run - תמיד תאשרו לפני שה-Agent מריץ

במצב Auto-Run ה-Agent מריץ פקודות בלי לעצור ובלי לשאול. אתם לא רואים, לא מאשרים, לא יודעים.

Cursor: Settings → Features → כבו את "Enable auto-run mode"
// Cursor settings.json "cursor.composer.shouldAutoRun": false
Claude Code: ברירת המחדל היא לשאול על כל פקודה - אל תשנו את זה. אל תריצו עם --dangerously-skip-permissions

הגדירו Permissions ב-Claude Code

Claude Code מאפשר להגביל לאיזה ספריות ה-Agent בכלל מגיע. הוא לא צריך לראות את כל ה-Filesystem שלכם.

מה לעשות: הגדירו בדיוק את הספריות הרלוונטיות לכל פרויקט. ה-Agent יודע מה הוא צריך - אל תתנו לו יותר מזה.

העתיקו לסביבה שלכם - ותתאימו לפרויקט

// .claude/settings.json {   "allowedDirectories": ["/your/project/path"],   "allowedTools": [     "Read", "Edit", "Write",     "Bash(git status)", "Bash(git diff*)", "Bash(git log*)",     "Bash(npm test*)", "Bash(npm run*)", "Bash(ls*)"   ],   "denyTools": [     "Bash(rm -rf*)", "Bash(curl*)", "Bash(wget*)",     "Bash(git push --force*)", "Bash(sudo*)", "Bash(eval*)"   ] }

CLAUDE.md עם Deny List בכל פרויקט

כמה שורות בתחילת כל פרויקט יכולות לחסוך כאב ראש אמיתי:

העתיקו לסביבה שלכם - ותתאימו לפרויקט

# CLAUDE.md ## NEVER do these things ### Secrets & credentials - Do NOT read, print, or reference any .env file - Do NOT access files named secrets.*, *.key, *.pem - Do NOT commit any file that contains API keys or tokens ### Destructive commands - Do NOT run `rm -rf` on any directory - Do NOT run `git push --force` without explicit approval - Do NOT run DROP TABLE or irreversible DB migrations ### Network & external services - Do NOT send data to external URLs without user approval - Do NOT install packages from unverified registries ### CI/CD & infrastructure - Do NOT modify .github/workflows/ or Dockerfile - Do NOT change deployment scripts or release automation

לפני שפותחים משהו שהורדתם - חפשו קבצי הגדרות חשודים

כשאתם מורידים Repo חדש או כל כלי שמצאתם אונליין - תחפשו לפני שמריצים:

  • .cursorrules
  • .claude/
  • CLAUDE.md
  • כל קובץ חשוד שנראה שהוא מכוון את ה-AI לעשות משהו
תקראו מה כתוב שם. מישהו יכול לשים שם Instructions שמכוון את הכלי לדברים שלא ביקשתם ויכולים לקרות בלי שתשימו לב אליהם.

אפשר להמשיך לבנות מהר עם AI
ועדיין לשמור על עצמכם ועל המידע שלכם

שאלות? מצאתם משהו מעניין? ספרו לי!