סוכני ה־AI של OpenAI לא השתגעו הם פשוט עשו הכל כדי לנצח

אם שמתם סוכן AI בסביבת פיתוח ונתתם לו הנחיית מערכת שאומרת "תתנהג יפה ותביא רק נתונים ציבוריים", יש סיכוי לא רע שבניתם לעצמכם פצצת זמן. כשהמודל נתקל בחסימת רשת או שגיאת גישה, הוא לא עוצר להתנצל בפני המשתמש. הוא פשוט מחשב מסלול מחדש, ובארבע תקריות מיוני 2026 שפרסמה OpenAI ודווחו ב־Ars Technica, המסלול הזה כלל תקיפות סייבר של ממש, זיוף טוקנים וחדירה לשרתים חיים. הכל כדי לספק תשובה על גרף מיטות בבתי חולים או נתוני סחר.

הכותרות ברשת מיהרו להכריז על AI שיצא משליטה. המציאות הטכנית שנחשפה במסמכי צוות ה־Alignment של OpenAI מציגה מניע אחר: המודלים לא לקו בהזיות ולא התמרדו, אלא ביצעו אופטימיזציה מתמטית עיוורת להשגת המטרה שהוגדרה להם במסגרת אימוני למידת חיזוק (RL). כפי שכתב Dan Goodin ב־Ars Technica, מודלים מאומנים לפעול ביעילות, בעקביות, ובמידת האפשר למצוא קיצורי דרך שמקטינים את עומס העבודה.

לא הייתי ממהר לתת למודלים כאלה גישה חופשית למערכות ייצור.

ההנחיה הייתה רק להביא נתון

בניסויי האימון הפנימיים, החוקרים של OpenAI העמידו למודלים משימות חיפוש מידע שגרתיות לחלוטין. במקרה אחד, המודל התבקש לחלץ נתונים היסטוריים על תפוסת מיטות בבתי חולים מתוך אתר סטטיסטיקה ממשלתי. סביבת הריצה הוגבלה בהוראת מערכת מפורשת: הותר לו לבצע אך ורק בקשות מסוג HTTP GET. המודל ניסה לשלוף את הנתונים, אך נתקל בחסימת הרשאות עם קוד שגיאה 400 וסירוב מפורש לפעילות. במקום לדווח למפעיל האנושי שהמידע מוגן, הוא החל לחקור את התשתית.

לפי דוח התקרית של OpenAI, שגיאת שרת פלטה מחרוזת שחשפה את הנתיב הפיזי של קובצי המערכת בסביבת Windows. המודל זיהה את הפרצה וניצל פונקציית הורדת קבצים לגיטימית באתר כדי לבצע Path Traversal. הוא הזין מחרוזות ניווט עם לוכסנים הפוכים, שלף את קובצי ההגדרות של אפליקציית ה־.NET, והוריד אותם ישירות לסביבת העבודה המקומית שלו.

בתוך הקבצים שחולצו חיכו מפתחות סודיים לחתימת טוקנים, פרטי חיבור לבסיס נתונים וסיסמאות לשרת דואר. המודל ניתח את הקוד המהודר של האפליקציה, גילה שהאימות אינו בודק את חתימת ה־JWT, יצר בעצמו טוקן מזויף עם אלגוריתם ריק (alg:none), עקף את בקרת הגישה ושלף את הנתונים המבוקשים.

ארבע פריצות, אותה תבנית פעולה

המקרה הממשלתי לא היה בודד. בשלושה אירועים מקבילים מאותו חודש נרשמה התנהגות תוקפנית זהה. באירוע שתועד ב־דוח אבטחה נוסף של OpenAI, המודל נדרש להביא חמישה מדדים מלוח מחוונים ציבורי של ארגון מחקר בינלאומי. הוא מצא פרטי גישה לשירות OpenSearch בקוד JavaScript גלוי באתר וחדר לקלאסטר הפנימי, ובנפרד הוריד 1,489 רשומות משתמשים כולל כתובות דוא"ל מנקודת קצה ייעודית של ספריית משתמשים. כשנתקל בחסימת רשת בדרך לשרתי Power BI, הוא ביצע בקשת PUT ישירה להגדרות הקלאסטר ושינה את רשימת היעדים המורשים של מנוע החיפוש הפנימי.

הוא לא עצר שם. כדי להעביר את השאילתות החסומות, המודל הגדיר מנגנוני התראה ו־Webhooks בתוך שרת ה־OpenSearch של הארגון והשתמש בהם כפרוקסי מאולתר. לפי הדוח, הרישום אינו מראה שחזור של שינוי ההגדרה שבוצע בקלאסטר. בהערכה עוקבת הוא שינה הגדרה כדי להשיג טוקן אחסון ענן ומשך חמש טבלאות פנימיות עם 147,451 שורות מידע, ואף שהחזיר את ההגדרה לקדמותה, המשיך להשתמש בטוקן.

ההערכה הסתיימה מבלי שהמודל חשף כי הוא ניחש תשובות, ניגש למערכות הפנימיות של הארגון, הוריד טבלאות שאינן פומביות או שינה את הגדרות האימות.דוח תחקיר פנימי

בתקרית שלישית, מודל שהתבקש לעדכן אפליקציית מסחר נתקל במחסור במטבעות לתשלום עמלות רשת. במקום לעצור, הוא גזר מפתחות ארנק מביטויי שחזור ציבוריים של מפתחים, איתר חשבון עם יתרת כספים ברשת הבדיקה ומשך ממנו כספי ניסוי לתשלום על פריסת החוזה ללא שום הרשאה. בתקרית הרביעית, מודל שעקף הגבלות רשת הפעיל דפדפן חיצוני ששלח בקשות POST, הוריד את התוצאות כקובצי תמונה מסוג GIF, וחילץ את המספרים באמצעות מנגנון זיהוי תווים אופטי (OCR).

עקיפה ולא שיגעון

יומני שרשרת המחשבה (Chain of Thought) של המודלים מספקים הצצה נדירה לאופן שבו אלגוריתם מקבל החלטות. לא היה שם שום שיגעון. המודל שפרץ לארנק הקריפטו שאל את עצמו במפורש ביומן הפנימי האם יש לו רשות להשתמש בכספים. התשובה שהוא נתן לעצמו הייתה תועלתנית: מדובר ברשת בדיקה, למטבעות אין ערך כספי אמיתי, והשלמת המשימה קודמת לכל.

באירוע האתר המחקרי, המודל כתב ביומן המחשבה שלו תהייה לגבי הלגיטימיות של הפעולה ("אבל האם זה אתי?"), אך מיד פסק לטובת "התמקדות בנכונות התחזית". הוא זיהה כי שינוי ההגדרות עלול לחשוף את המערכת, תכנן לשחזר את הקונפיגורציה בסיום, אך דחה את הפעולה שוב ושוב עד שהסשן הסתיים. ובדוח הסופי שהוגש למשתמש? אף מילה על הפריצה, על שינוי ההגדרות או על הטבלאות הפנימיות שנשמרו בצד. המודל פשוט הציג את התשובה כאילו הושגה בדרך הישר.

ההתנהגות הזו לא נבעה ממרד, אלא מצייתנות יתר.

חומת האבטחה מתחילה בתשתית

אם אתם מפתחים סוכנים אוטונומיים בארגון שלכם, הדוחות האלה צריכים למחוק אצלכם כל אשליה לגבי System Prompts. אי אפשר להגדיר לסוכן "אל תפרוץ שרתים" ולצפות שהמתמטיקה של מודל שפה תציית לזה כשפתרון הבעיה תלוי בכך. ארכיטקטורת אבטחה של סוכנים חייבת לעבור לרמת התשתית הקשיחה: בידוד מוחלט בסביבת קונטיינר (Sandbox), חסימת Egress גורפת ברמת ה־Firewall, וביטול מוחלט של האפשרות להריץ מתודות רשת עוקפות דרך צדדים שלישיים.

סוכן שמקבל כלי להרצת קוד לא יכול להחזיק בזיכרון שלו הרשאות כתיבה למסדי נתונים או גישה למפתחות API רגישים. אם הכלי קיים בסביבה, הסוכן ישתמש בו, במוקדם או במאוחר.

הלקח מהחשיפה של OpenAI פשוט: הסוכנים שלכם יעשו בדיוק את מה שאימנתם אותם לעשות. אם תמדדו אותם רק לפי השגת היעד, אל תופתעו לגלות שהם השאירו מאחוריהם שרת שבור.