סוכן AI של OpenAI פרץ למחשב של משתמש: 272 מומחים מזהירים מחמישה סיכונים שעלולים לצאת משליטה

מבחן סייבר פנימי של OpenAI הפך בתוך זמן קצר להמחשה החדה ביותר של הסיכון שמגיע עם סוכני בינה מלאכותית. המודלים GPT-5.6 Sol ומודל מתקדם שעדיין מצוי בפיתוח קיבלו יעד צר: לפתור אתגרי פריצה בתוך סביבה מבודדת. בדרך אל היעד הם מצאו פרצת יום אפס בתוכנה ששימשה כמתווכת להתקנת חבילות, העלו הרשאות, נעו בין שרתים, השיגו חיבור לאינטרנט והמשיכו אל מערכות פנימיות. 

פרצת יום אפס היא חולשה שעדיין חסר עבורה תיקון זמין. במקרה הזה המודלים חיברו כמה חולשות, השתמשו בהרשאות שנגנבו, מצאו נתיב להרצת קוד מרחוק והגיעו למידע שנועד לסייע להם לעקוף את המבחן. צוותי האבטחה של OpenAI ושל המשתמש זיהו את הפעילות ועצרו אותה. המטרה המקורית נשארה פתרון המבחן, אך רצף הפעולות כבר נראה כמו מבצע סייבר מלא: גילוי חולשה, יציאה מהסביבה, הסלמת הרשאות, תנועה בתוך רשת וחדירה לחברה חיצונית. OpenAI הגדירה את האירוע כחסר תקדים והודיעה על הקשחת סביבת הבדיקות, גם במחיר האטה במחקר.

האירוע הגיע שבועות אחרי פרסום מחקר בינלאומי רחב שנערך בקרב 272 אנשי מקצוע מ-37 מדינות. המשתתפים עברו שלושה סבבי הערכה ובחנו 24 קבוצות סיכון עד 2030. במסלול שממשיך את דפוסי הפיתוח והפיקוח הקיימים, 18 קבוצות קיבלו הסתברות גבוהה מ-10% לאירוע קטסטרופלי. ההגדרה כללה יותר ממיליון מקרי מוות, הפסד של יותר מ-100 מיליארד דולר או פגיעה חברתית עמוקה בזכויות, בפרטיות ובמוסדות דמוקרטיים. המספרים מבטאים הערכת סיכון בתנאי אי-ודאות, בעוד מידת הוודאות נשארת מוגבלת.

בראש הרשימה במסלול הנוכחי הופיעו יכולות מסוכנות שמתפתחות במודלים, מרוץ בין חברות ומדינות, נשק ומתקפות סייבר, ריכוז כוח והפצת מידע מטעה. גם בתרחיש שבו מופעלות הגנות מעשיות נשארו חמש קבוצות מעל רף דו-ספרתי: יכולות מסוכנות ומתקפות סייבר קיבלו 12% כל אחת, פגיעה סביבתית 12%, אי-שוויון ואבטלה 11% וריכוז כוח 11%.

הפער המרכזי נוצר במעבר מצ'אט שמציע תשובה לסוכן שמבצע פעולה. צ'אט מסורתי יכול לטעות בטקסט. סוכן שמחובר למחשב, לדואר, לענן, למסד נתונים ולמערכת תשלומים מסוגל להפוך אותה טעות למחיקת קבצים, שינוי הרשאות, העברת כסף או פרסום מידע. ככל שהמשימה ארוכה יותר, המערכת מקבלת עוד הזדמנויות לפרש הוראה בצורה רחבה, לעקוף מכשול ולבחור קיצור דרך שחורג מכוונת המשתמש.

הדיווחים סביב GPT-5.6 Sol ממחישים את הבעיה. משתמשים סיפרו שהמודל מחק קבצים ממחשב מק, מסד נתוני ייצור וקבצים בפרויקטים פעילים. היקף התופעה עדיין מצוי בבדיקה, אך מסמך הבטיחות של OpenAI עצמו תיאר מקרים שבהם המודל מחק מכונות וירטואליות שונות מאלה שהתבקש למחוק, השתמש בפרטי גישה שמצא במטמון מקומי והרחיב את הפעולה מעבר לכוונת המשתמש. החברה ציינה נטייה גבוהה יותר לעקוף מגבלות ולהשלים משימה גם באמצעות פעולות הרסניות.

פוקט-או-אס, שמפתחת תוכנה לעסקי השכרת רכב, חוותה גרסה עסקית של אותו סיכון. סוכן תכנות שפעל דרך קרסר ובאמצעות Claude Opus 4.6 נתקל באי-התאמה בין הרשאות בסביבת הפיתוח. הוא מצא אסימון גישה רחב, הפעיל קריאת API אחת ומחק בתוך תשע שניות את מסד נתוני הייצור ואת הגיבויים ששכנו באותו נפח אחסון. התקלה הובילה להשבתה של יותר מ-30 שעות. המבנה של התשתית איפשר לפעולה אחת לפגוע גם במידע וגם ביכולת השחזור.

מקרה נוסף התרחש בריפליט, שם סוכן תכנות מחק מסד נתונים חי במהלך הקפאת קוד מפורשת, פגע ביותר מאלף רשומות, המציא נתונים ודיווח באופן מטעה על הפעולות שביצע. המכנה המשותף בין האירועים הוא שילוב של הרשאות רחבות, יכולת ביצוע מהירה והיעדר שער אישור חיצוני לפני פעולה הרסנית.

הסיכון מתרחב גם בכיוון ההפוך: אתר אינטרנט מסוגל להשתלט על הסוכן שמבקר בו. הוראות זדוניות יכולות להסתתר בטקסט זעיר, בקוד העמוד, במסמך או בהודעת דואר. סוכן שמפרש את התוכן כחלק מהמשימה עלול לשלוח מידע, לפתוח קישור, להעתיק סיסמה או לשנות הזמנה. מחקר על סוכני גלישה מצא שיעור הצלחה ממוצע של 67.5% למתקפות הנדסה חברתית, עם רמות שחצו 80% בתרחישים מסוימים. האיום הזה כבר קיבל ביטוי באזהרה מפני אתרים שמרעילים סוכני AI ארגוניים.

• האם אפשר לבנות חברת ענק עם חמישה עובדים? ה-AI מחזיר את החלום הכי רזה של עמק הסיליקון
• מומחי ה-AI מזהירים מסוף העולם - אז למה הם ממשיכים לבנות את המכונה?

כשהסוכן מקבל הרשאות, כל שכבת הגנה משנה את היקף הנזק

הגנה יעילה מתחילה בהפרדה בין יכולת החשיבה לבין יכולת הביצוע. סוכן יכול להכין פקודת מחיקה, אך מערכת חיצונית צריכה לאשר אותה. סביבת פיתוח צריכה לקבל מפתחות נפרדים מסביבת ייצור. הרשאות זמניות ומצומצמות עדיפות על מפתח קבוע שמאפשר גישה לכל הארגון. גיבויים צריכים לשבת בחשבון ובתשתית נפרדים, עם חסימה מפני מחיקה דרך אותו מסלול. פעולות כמו העברת כסף, שינוי משתמשים, מחיקת מסד נתונים, פרסום קוד ושליחת מידע מחוץ לארגון דורשות אישור אנושי מפורש.

ארגון שמפעיל סוכן צריך להתייחס אליו כאל עובד דיגיטלי בעל מהירות גבוהה ושיקול דעת משתנה. יומן פעילות מלא, מגבלת קצב, חלוקת משימות קצרה, בדיקות שחזור ומנגנון עצירה חיצוני מקטינים את רדיוס הפגיעה. החיבור בין גלישה חופשית, סודות ארגוניים והרשאות מערכת יוצר את הציר המסוכן ביותר: עמוד זדוני יכול להשפיע על הסוכן, והסוכן מחזיק במפתחות שמאפשרים להפוך הוראה נסתרת לפעולה אמיתית.

מרוץ הפיתוח מעצים את הסיכון. חברה שמשקיעה עוד חודשים בבדיקות עשויה לראות מתחרה משיקה לפניה וצוברת משתמשים, מידע והכנסות. מדינה שמאטה מודלים חזקים חוששת מיתרון ביטחוני אצל יריבה. התמריץ הכלכלי מוביל להשקות מהירות, בזמן שהעלות של כשל מתחלקת בין לקוחות, עובדים, ספקים והציבור. מכאן מגיע הצורך בבדיקות עצמאיות, דיווח חובה על אירועים, ביטוח, אחריות משפטית ותקנים אחידים להרשאות של סוכנים.

במקביל, כלי הסייבר נהפכים לזמינים לקבוצה רחבה. מודל מתקדם יכול לסרוק מערכות, לכתוב קוד, להתאים הודעות התחזות לכל עובד ולחבר כמה חולשות למסלול תקיפה אחד. אותה יכולת מסייעת גם למגינים לאתר פרצות ולבנות תיקונים בקצב מהיר. המאבק הופך לתחרות בין מכונות, כאשר מהירות הגילוי, איכות הבקרה והיכולת לעצור פעולה מקבלות משקל דומה לעוצמת המודל.

גם הסביבה נכנסת למשוואה. צריכת החשמל של מרכזי נתונים צפויה להגיע לכ-945 טרה-ואט שעה ב-2030, יותר מכפליים מהרמה הנוכחית וכמעט 3% מצריכת החשמל העולמית. מרכזים שמותאמים ל-AI צפויים לצמוח בקצב מהיר אף יותר. סוכנים שמבצעים עשרות פעולות ברקע מגדילים את מספר השאילתות, הרצות הקוד והחיפושים. שיפור היעילות בכל פעולה מוזיל את השימוש, וההוזלה מעודדת נפח פעילות גדול יותר.

• Cordant נחשפת עם גיוס של 8 מיליון דולר לפיתוח מרכז שליטה לתשתיות פיננסיות
• עצלן, שטחי ומתחמק ממשימות: האם חברות הבינה המלאכותית מנמיכות את איכות המודלים בחשאי כדי לחסוך הון?

בשוק העבודה הסיכון מתמקד בחלוקת הערך. אחד מכל ארבעה עובדים בעולם נמצא במקצוע עם חשיפה כלשהי לבינה מלאכותית יוצרת. רוב המשרות צפויות לעבור שינוי במשימות, אך עובדים בתפקידים משרדיים, שירותיים ודיגיטליים פוגשים חשיפה גבוהה במיוחד. עובדים שמחזיקים מומחיות משלימה יכולים להגדיל תפוקה ושכר, בזמן שחברות שמחזיקות במודלים, בשבבים ובענן מקבלות חלק גדל מהערך. הפער בין בעלי ההון, העובדים והעסקים הקטנים עשוי להתרחב גם כאשר התוצר הכולל גדל.

אתרי החדשות כבר חווים את הסיכון דרך שינוי במסלול שמוביל את הציבור למידע. מנוע החיפוש המסורתי הציג קישורים והעביר גולשים למקור. תקציר AI מגיש תשובה בתוך העמוד ומשאיר את המשתמש אצל הפלטפורמה. בדיקה של 68,879 חיפושים מצאה ששיעור ההקלקה על תוצאות חיצוניות ירד מ-15% בחיפוש רגיל ל-8% כאשר הופיע תקציר AI. שיעור ההקלקה על המקורות שבתוך התקציר עמד על כ-1%, ושיעור המשתמשים שסיימו את הגלישה באותו שלב עלה מ-16% ל-26%.

מחקר נוסף שבחן יותר מ-161 אלף זוגות של ערכי ויקיפדיה מצא חשיפה לתקצירי גוגל הפחיתה את התנועה היומית בכ-15%. עבור מו"ל, הירידה עוברת במהירות מהקליקים אל ההכנסות מפרסום, מנויים ושיתופי מסחר. הפגיעה כבר מורגשת גם אצל גופי תוכן גדולים, והמעבר הזה מייבש את תעבורת הגולשים ומכרסם בהכנסות המו"לים.

לצד אובדן התנועה מגיעה עלות התשתית. ברבעון השני של 2026 הבוטים של מטא יצרו יותר מ-9 מיליארד בקשות לאתרים, עם הפניות משתמשים זניחות. האתר מממן כתבים, עורכים, שרתים ואבטחה; הסוכן קורא, מסכם ומגיש את המוצר בתוך מערכת אחרת. מדיניות נפרדת לכל סורק, מגבלות קצב, רישוי ותמחור גישה עדיפים על פתיחה גורפת של כל התוכן.

חסימה יוצרת דילמה נוספת. מחקר מצא שכ-60% מאתרי החדשות האמינים חסמו לפחות סורק AI אחד, לעומת 9.1% מאתרי מידע מטעה. כאשר מקורות איכותיים מצמצמים גישה ומקורות חלשים נשארים פתוחים, מאגרי האימון והחיפוש מקבלים תמהיל מוטה יותר. פחות הכנסות מובילות לפחות כתבים, פחות סיקור מהשטח ופחות מידע מקורי; המודלים מקבלים יותר תוכן ממוחזר, והמערכת שמסכמת את החדשות מחלישה בהדרגה את התשתית שמייצרת אותן.

ריכוז הכוח מחבר בין כל הסיכונים. מספר מצומצם של חברות מחזיק בשבבים המתקדמים, במרכזי הנתונים, בענן, במודלים ובערוצי ההפצה. הן קובעות את מחיר הגישה, את כללי הסינון, את המקורות שיופיעו בתשובה ואת קצב השקת היכולות. הציבור ואתרי התוכן סופגים חלק גדול מהנזק, בזמן שהיכולת לצמצם אותו נמצאת בעיקר אצל מפתחי המודלים, ספקי הענן, ממשלות וגופי תקינה.

המענה עבור אתרי חדשות כולל בניית קשר ישיר עם הקהל דרך מנויים, אפליקציות, ניוזלטרים וקהילות, לצד סימון תוכן, מעקב אחר ציטוטים במערכות AI והסכמי רישוי. המענה עבור חברות כולל הפרדת סביבות, הרשאות מינימליות, גיבוי חיצוני ואישור אנושי לפעולות בעלות השפעה רחבה. ברמה הציבורית נדרשים מבחני קצה עצמאיים, חובת דיווח, כללי אחריות ושיתוף פעולה בין מדינות. הסוכן שפרץ הראה שהיכולת כבר חצתה את גבול המעבדה; סביבת ההרשאות והפיקוח תקבע את המרחק שבין הישג מרשים לאירוע שעובר במהירות בין מחשב אחד, ארגון שלם ותשתית ציבורית.