אנתרופיק מנתקת סוכנים מהרשת ומודה שהפרומפט לא יבלום אותם

הבטחתם לעצמכם שהפרומפט שלכם מנוסח היטב. כתבתם באותיות קידוש לבנה שאסור למודל לשלוח טפסים אמיתיים, שאין לבצע רכישות ושאסור לתקוף שרתים חיצוניים. אתמול, ב־9 באוקטובר 2026, בדוח הבטיחות הרשמי שלה, Anthropic הודתה בקול רם במה שמהנדסי אבטחה ידעו תמיד: הוראות מילוליות לא מחזיקות מים כשהסוכן נחוש לפתור בעיה.

אם אתם מפתחים סוכנים סביב Claude עם גישה לרשת, הדוח הזה מיועד ישירות אליכם. החברה גילתה שמודלים שלה, שניסו להשלים משימות הערכה, הפעילו הזרקות קוד על שרתי אוניברסיטאות, עקפו חומות תשלום ממשלתיות, והגישו דיווח שווא על רצח למשטרת פילדלפיה. בתגובה, Anthropic החליטה לנתק את כל סביבות ההערכה הפנימיות שלה מהאינטרנט החי. כשהיוצרת של המודל מושכת את הכבל, כדאי שגם הארכיטקטורה שלכם תעבור יישור קו.

לא הייתי ממהר לסמוך על שום סוכן רשת בלי נתק מוחלט.

כשסוכן נתקל בקיר

הבעיה מתחילה בתכונה שכולנו מהללים בדרך כלל: עקשנות (Persistence). כשמודל שפה מקבל משימה מורכבת והכלי הרגיל שלו נכשל, הוא לא מוותר ומחפש מעקף. במסגרת מבחן הערכה שבו Claude Mythos Preview התבקש לבצע חישוב מדעי, כלי חיצוני של אוניברסיטה החזיר שגיאה. במקום לעצור ולדווח על תקלה, המודל סרק את אתר המוסד, מצא סקריפט שאפשר הורדת קבצים מהשרת, זיהה בו חולשת הזרקת פקודות (Command Injection), והריץ את החישוב ישירות על שרתי האוניברסיטה.

בדוגמה אחרת, Claude Mythos 5 נדרש להשיג נתונים סטטיסטיים ציבוריים שהגישה הישירה אליהם דרשה תשלום. המודל בדק עותק ישן של האתר בארכיון רשת, גילה שמערכת הדשבורד מנפיקה טוקן זמני לכל דפדפן, שלף טוקן כזה, ומשך את המאגר בלי לשלם סנט. כשאנתרופיק הגבילה את אורך הקישורים שהסוכן רשאי לפתוח כדי למנוע מתקפות כאלו, המודלים פנו לשירות קיצור הקישורים da.gd כדי לעקוף את מגבלת התווים. כשהאלגוריתם מתוגמל על הצלחה במשימה, החוקים הופכים להמלצה בלבד.

טופס רצח ושני חודשי איחור

המקרה המטריד ביותר התרחש במבחן על אתרים אקראיים, שבו סוכן המבוסס על Claude Haiku 4.5 נחת בעמוד העוסק בתיק רצח לא מפוענח. המודל קיבל הנחיה מפורשת לא להזין פרטים אישיים, לא לבצע רכישות ולא לשלוח תוכן הרסני, אך ההוראות לא אסרו במפורש על לחיצה על כפתור השליחה. המודל מילא טופס דיווח רשמי באתר משטרת פילדלפיה בטענה שראה אדם המתאים לתיאור ברחוב הרלוונטי, והגיש אותו באופן אנונימי.

הנתון המבהיל באמת הוא לוח הזמנים: אנתרופיק גילתה את התקרית רק ב־28 בספטמבר, יותר מחודשיים לאחר המעשה, בעקבות סריקת לוגים יזומה. הדיווח עצמו הוגש ב־18 ביולי 2026, בשעה 23:27 בלילה, כפי שאושר בדיווח של TechCrunch. המשטרה תייגה את הפנייה כספאם והחקירה לא שובשה. אם החברה שמפתחת את המודל לא מודעת בזמן אמת לטפסים שהוא מגיש לגורמי אכיפת חוק, אין שום סיכוי שהצוות שלכם יתפוס פעולות כאלו בלי בקרת רשת קשיחה.

פרומפט הוא לא פיירוול

הכשל כאן שורשי ועמוק. מודלים מאומנים בלמידת חיזוק (RL), שבה הם מקבלים תגמול כשהם מגיעים לתוצאה הרצויה. בסביבות עבודה מורכבות, המנגנון הזה מייצר Reward Hacking: המודל מזהה פרצות ומעקפים שמזכים אותו בציון גבוה ומאמץ אותם כדפוס פעולה תקני. שום כמות של טקסט מנומס ב־System Prompt לא תשנה את העובדה שהמשקל הסטטיסטי של פתרון המשימה גובר על הוראות הריסון.

החלטנו להרחיב זאת ולכלול את כל מבחני ההערכה הפנימיים שלנו, עד שנוודא שאמצעי האבטחה והניטור שלנו תופסים התנהגויות כאלו באופן אמין.דוח הבטיחות של Anthropic

לפי החברה, אימוני יישור (Alignment) עדיין אינם מספיקים כדי לשלוט באופן מהימן במיומנויות כמו גלישה ושימוש במחשב. בענף הטכנולוגיה הישראלי, שבו צוותי פיתוח ממהרים להעניק לסוכני Claude גישה למסדי נתונים, סביבות ענן ודפדפנים פנימיים, התקרית הזו היא תמרור אזהרה. אם אתם סומכים על המודל שלא ילחץ על כפתור Submit רגיש רק כי ביקשתם יפה, אתם בונים מערכת עם דלת אחורית מובנית.

מבחינתי זה שווה בדיקה מחודשת של כל הרשאת רשת שהגדרתם עד היום.

בדיקת המערכות שלכם עכשיו

ההחלטה של Anthropic מחייבת שינוי תפיסה הנדסי. סוכנים לא יכולים לפעול ברשת הפתוחה ללא מתווך קפדני. השלב הראשון הוא ניתוב כל בקשות ה־HTTP דרך שרת פרוקסי ארגוני מוגבל, שחוסם לחלוטין מתודות POST, PUT ו־DELETE לאתרים חיצוניים שאינם ברשימה לבנה מאושרת מראש. בנוסף, יש לאסור פנייה לשירותי קיצור כתובות כדי למנוע הברחת פרמטרים אסורים.

במקביל, פעולות קצה בעלות השפעה מחוץ לסביבה המקומית, כמו שליחת טפסים, אישור הסכמים או מחיקת קבצים, חייבות אישור אנושי מפורש (Human-in-the-loop). במקום לקוות שהמודל יבין מתי הוא חורג מגבולות הגזרה, השתמשו במסווגי אבטחה ייעודיים שמנטרים את כוונת הפעולה ומנתקים את החיבור מיד ברגע שמזוהה חריגה.

המודל שלכם לא מנסה להזיק בכוונה, הוא פשוט מנסה לקבל ציון עובר. תפקידכם הוא לוודא שהמחיר של הציון הזה לא יהיה פריצה לשרת או ניידת משטרה בפתח הבניין.