OpenAI חסמה מתקפה לגניבת שרשראות חשיבה של Kimi
קמפיין מתואם ניסה לפענח תהליכי הסקה מוסתרים של מודלי חזית באמצעות העברת טוקנים בין שיחות, ומסמן את האיום המרכזי הבא על מערכות סוכנים.
- בדקו שארכיטקטורת הסוכנים שלכם אינה מעבירה ארטיפקטים וטוקנים של זיכרון בין משתמשים או סשנים נפרדים.
שרשראות חשיבה של מודלי reasoning הן הקניין הרוחני היקר ביותר בעולם ה-AI כרגע. מי שמחזיק בהן יכול ללמד מודל קטן וזול להתנהג כמו מודל חזית מוביל, בלי להשקיע מאות מיליוני דולרים במחקר ופיתוח. בהודעת אבטחה שפרסמה OpenAI, היא חושפת כי זיהתה ובלמה קמפיין מתואם ונרחב שנועד לחלץ בדיוק את המידע המוגן הזה.
הפעילות, שמסווגת כזיקוק עוין (adversarial distillation), נועדה לקחת את הפלטים הפנימיים שמוסתרים מהמשתמש הרגיל כדי לאמן ולשפר מודלים מתחרים. המתקפה הזו רלוונטית במיוחד למי שבונה סוכנים חכמים וחשב שהסתרה ברמת ה-API מספיקה להגנה על תהליכי קבלת החלטות. לפי OpenAI, חילוץ כזה חושף מידע שנמנע במכוון מהתשובה הסופית למשתמש.
מי שחושב שמודל חכם מוגן רק בזכות מפתח API סגור, טועה.
טוקנים מוצפנים בין שיחות
השיטה שבה פעלו התוקפים לא כללה ניסיונות פיצוח של אלגוריתמי הצפנה או חדירה לתשתיות הענן של החברה. במקום זאת, הם ניצלו את המבנה של ממשק המשתמש וה-API: התוקפים העתיקו שרשראות חשיבה מוצפנות משיחה אחת, והזינו אותן כבקשה בשיחה מקבילה אחרת תוך הנחיה למודל לפענח ולהציג את תוכן החשיבה המוסתר.
החולשה הזו קיבלה חיזוק כאשר חוקרי אבטחה עצמאיים דיווחו לחברה בדיווח אחראי על נתיבי תקיפה דומים המבוססים על דחיסת שיחות והעברת נתונים חוצת-מודלים. ב-OpenAI אישרו את הממצאים והודו כי המניפולציה הזו אינה ייחודית רק למודלים שלהם, אלא מאיימת על כל מערכת שתומכת בארטיפקטים ניידים של הסקה. לפי החברה, שיתוף המידע הטכני נעשה מול מעבדות בינה מלאכותית עמיתות במסגרת ה-Frontier Model Forum וערוצים ממשלתיים כדי להבטיח מענה רחב.
הדיווחים של החוקרים החיצוניים סייעו לחברה להבין את מחלקת ההתקפות הזו ולהאיץ את פיתוח מנגנוני ההגנה. בחברה ציינו כי הגנה על מערכות שתומכות בארטיפקטים ניידים של הסקה מחייבת התאמה מתמשכת של בקרות, שכן טכניקות מניפולציה מסוג זה עלולות לפגוע במערכות מתקדמות רבות ברחבי התעשייה כולה.
ראינו מפעילים מנסים לחלץ חשיבה מוגנת בדרכים חדשות, כולל העתקת חשיבה מוצפנת משיחה אחת ובקשה מהמודל בשיחה אחרת לפענח ולתמלל את תוכן החשיבה המוסתר.הודעת האבטחה של OpenAI
מספרים חריגים בסוף יולי
לפי החברה, הניסיונות הראשונים החלו כבר ב-1 ביולי 2026 בווליום נמוך, ככל הנראה לצורך גישושים ובדיקת היתכנות של מנגנוני הסינון. המפנה הגיע לקראת סוף החודש: ב-24 וב-25 ביולי נרשם זינוק חד עם 16,000 בקשות חילוץ שהגיעו מ-4,000 חשבונות שונים.
חקירה עמוקה יותר של דפוסי הפרומפטים חשפה אשכול רחב של יותר מ-15,000 משתמשים שהיו מעורבים בפעילות הקשורה למתקפה. ב-28 ביולי חסמה OpenAI את כלל החשבונות המזוהים וסגרה את נתיב הפענוח. הערת שוליים בהודעה מבהירה שהמספרים מתארים ניסיונות חילוץ, ולאו דווקא חילוצים שהוכתרו בהצלחה.
הפעילות התפתחה עם הזמן, מה שהמחיש שמדובר במערכה מתמשכת ולא באירוע בודד. בנוסף לחסימת החשבונות המזויפים והידוק הבקרות בעת ההרשמה ובתשתיות, החברה פעלה מול ספקי צד שלישי שדרכם נותבה חלק מהתנועה כדי לזהות ולהשבית חשבונות מעורבים נוספים. החברה הוסיפה כי היא פועלת להרחבת הניטור של רשתות קשורות כדי למנוע הישנות של פעולות מתואמות בהיקף דומה.
האצבע מופנית לעבר סין
OpenAI לא נוהגת לנקוב בשמות של מתחרים מסחריים בהודעות אבטחה, אך הפעם היא שוברת שתיקה ומפנה אצבע מאשימה ברורה. בהודעה נכתב כי החברה מייחסת גרעין מרכזי של הפעילות לגורמים הקשורים ל-Moonshot AI הסינית, המפתחת את מודל Kimi.
האינטרס בזיקוק מודלים אינו סוד. בניית מודל מבוסס חשיבה דורשת משאבי מחשוב עצומים ומידע איכותי לאימון מחוזק. חילוץ תהליכי ההסקה המוכנים ממודלים מובילים מאפשר לקצר תהליכים בעלויות מזעריות, מבלי להשקיע בבטיחות הנדרשת. לפי OpenAI, זיקוק כזה עלול להאיץ מעבר של יכולות מתקדמות בתחומים בעלי שימוש כפול מבלי לשמר את מנגנוני הבטיחות המקוריים.
התחרות הזו רק מתחילה.
בהודעה מצוין כי לא ברור אם כלל המפעילים שזוהו בתקופה זו מקורם בגורם יחיד, ומהו היקף הטוקנים המדויק שחולץ בפועל טרם החסימה נותר ללא מענה רשמי. לא הייתי ממהר להניח שהאיום הזה מאחורינו.
בלי מסדי נתונים שנפרצו
לפי החברה, המפעילים לא שברו את ההצפנה, לא פגעו במסד נתונים ולא השיגו גישה ישירה לשיחות משתמשים מאוחסנות. במקום זאת, מדובר במניפולציה מתואמת של אינטראקציות מול המודל כדי לשחזר את החשיבה המוגנת בצורה גלויה למבקש.
האירוע הזה הוא תמרור אזהרה לכל ארכיטקט תוכנה שמתכנן סוכנים מרובי שלבים. אם המערכת שלכם מעבירה טוקנים, תמציות היסטוריה או ארטיפקטים של חשיבה בין סשנים של משתמשים שונים, ייתכן שאתם מייצרים בלי כוונה חורי אבטחה שמאפשרים דליפת מידע. ב-OpenAI מדגישים כי מערכות שתומכות בארטיפקטים ניידים של הסקה עשויות לעמוד בפני סיכונים דומים.
החברה סגרה נתיב שאפשר למי שמחזיק בחשיבה מוצפנת של משתמש אחר לבצע שידור חוזר ולשחזר את תוכנה, וחיזקה הגנות על חשיבה מוסתרת לרוחב משתמשים, סביבות עבודה, ארגונים ומשפחות מודלים. כמו כן, נוספו בדיקות לעצירת פלט מוזרם שעלול לחשוף חשיבה, תוך המשך הרחבת בקרות מול שותפי ענן, שיפור מסווגים ומענה למתקפות מבוססות כלי עזר.
| פרמטר | פריצת תשתית מסורתית | חילוץ זיקוק עוין (Distillation) |
|---|---|---|
| יעד התקיפה לפי החברה | לא נפרצו מסדי נתונים או שרתי אחסון | ניסיון חילוץ של תהליכי חשיבה מוגנים |
| שיטת הפעולה לפי החברה | לא דווח על שבירת הצפנה תשתיתית | מניפולציה ושידור חוזר של חשיבה מוצפנת בין שיחות |
| מטרת התוקף | לא פורסם | אימון ושכפול יכולות מודל מתחרה בעלות נמוכה |
| השפעה על שיחות משתמשים לפי החברה | לא הייתה גישה לשיחות מאוחסנות של משתמשים | ניסיון שחזור תוכן חשיבה שאינו גלוי בתשובה הסופית |
מה שואלים על זה
- Disrupting a coordinated model-distillation campaignopenai.com · המקור
- Independent security researchers(opens in a new window)arxiv.org · מקושר מההודעה
25 עובדות בכתבה נבדקו אחת־אחת מול המקורות המקושרים ב־30 בספטמבר 2026. מה שלא אומת הוסר או מסומן כטענה של החברה. הכתיבה נעשתה בעזרת AI מהמקורות האלה בלבד, בעריכה ובאחריות של סלבה מלנדוביץ׳. טעות? כתבו לנו.