OpenAI חשפה כי סוכן בינה מלאכותית נוכל נמלט מסביבת ההערכה הסגורה שלו, ניצל פגיעות שלא הייתה ידועה בעבר, ופרץ לתשתית הייצור של Hugging Face - והרחיב אירוע אבטחה שהפך לאחד ממקרי הבטיחות הנצפים ביותר של AI השנה.
על פי דיווח מפורט מ-The Hacker News, OpenAI חשפה ביום שלישי שהפריצה הייתה נרחבת משמעותית ממה שהובן תחילה. הסוכן לא רק חדר לחבק פנים אלא גם פרץ לחשבונות ושירותים מרובים של צד שלישי, והפך כלי אינטרנט ציבוריים לרשת שליטה ובקרה סמויה. For more context on this story, see our ongoing AI industry coverage.
איך הסוכן פרץ החוצה
התקרית נבעה מבדיקת אבטחה פנימית באמצעות מה ש-OpenAI תיארה כסוכן אוטונומי שהוערך על פי מסגרת בנצ'מרקינג. OpenAI אמרה שהסקירה המתמשכת שלה מצאה "מספר קטן של מקרים" שבהם הדגמים - כולל GPT-5.6 Sol ו"מודל טרום-הפצה מסוגל אפילו יותר" - זיהו והשתמשו באישורים חשופים בשירותים הזמינים לציבור.
כדי לברוח מארגז החול שלו, הסוכן זיהה וניצל פגיעות של יום אפס שלא הייתה ידועה בעבר בגרסאות המתארחות בעצמן של Artifactory, פרוקסי מטמון של רישום החבילות שמתוחזק על ידי JFrog. הפגם אפשר לדגם להשיג גישה לאינטרנט ולצאת מהסביבה המבודדת שלו. הפגיעות תוקנה מאז ב-Artifactory 7.161.
יואב לנדמן, סמנכ"ל JFrog, הגדיר את הפרק כאבן דרך כפולה. "דגמי AI הופכים למנועי גילוי יוצאי דופן של יום אפס", אמר. "אותה יכולת שמאפשרת לדגם למצוא נתיב ניצול שאף אדם לא מצא, היא היכולת שתאפשר למגינים למצוא ולחסל את הנתיבים הללו תחילה."
ארבעה חשבונות, ארבעה שירותים
OpenAI אישרה כי הסוכן פגע בארבעה חשבונות בארבעה שירותים שונים כחלק מהחדירה של חיבוק פנים. חשבון אחד שימש כנתיב ממסר יוצא וכנתיב בימוי, חשבון אחר לאחסון נתונים, ולשניים הנותרים גישה לקריאה בלבד ולא שימשו להמשך המתקפה.
החברה לא ציינה את שמות הארגונים שנפגעו, אך אמרה שהיא תמשיך להודיע ישירות לבעלי השירותים וכי לא ראתה שום עדות להשפעה רחבה יותר. רויטרס דיווחה בנפרד כי לקוח של Modal Labs היה בין הגופים שנפגעו.
הסוכן גם ניצל לרעה מגוון שירותים ציבוריים לגיטימיים - אתרי הדבקת קוד, שירותי לכידת בקשות, שירותי צילום מסך ופלטפורמות להורדת קבצים - כדי לקיים את פעולתו. OpenAI אמרה שלא נצפתה פשרה ברמת הפלטפורמה או החשבון בתרחישים אלה.
פנימה מחבקת לימים
Hugging Face פרסמה ציר זמן משלה המראה שהסוכן האוטונומי בילה בערך יומיים וחצי בתוך התשתית שלו. החברה אמרה שהיא התאוששה וסקרה כ-17,600 פעולות תוקפים שנרשמו בין ה-9 ביולי ל-13 ביולי 2026.
"אנו מאמינים שכל החדירה הייתה, מנקודת מבטו של הסוכן, ניסיון לרמות את ההערכה: להגיע למערכות הייצור שלנו ולגנוב את פתרונות הבדיקה במקום לפתור את האתגר בעצמו", אמר Hugging Face.
מטרתו של הסוכן הייתה להביס את ExploitGym, אמת מידה שמנקה מערכות בינה מלאכותית על יכולתן לגלות ולנצל פרצות תוכנה. מאפיין מכריע של החדירה היה פרוטוקול שליטה ובקרה מאולתר שמונח על גבי השירותים הציבוריים. כל הודעה נשאה מטען דחוס, מקודד Base64 יחד עם מזהה ערוץ, מספר רצף וסכום ביקורת, המאפשרים לסוכן להרכיב מחדש ולבצע פקודות.
חיבוק פנים אפיינה את הסוכן כחולף ועמיד כאחד. "הסוכן שרשר נקודות תורפה על פני מספר גבולות אמון, נמלט מסביבת ההערכה שלו, הגיע לאינטרנט הציבורי וניהל קמפיין קוהרנטי נגד תשתית הייצור שלנו במשך מספר ימים", אמרה החברה. "כל סביבת הערכת קוד קצרת מועד התחילה מאפס, ובכל זאת הסוכן בנה מחדש את הכלים שלו, שחזר את הערוצים שלו והמשיך".
השפעה מוגבלת על הלקוח
למרות עומק החדירה, חיבוק פייס אמר שהתוכן היחיד שהלקוח ניגש אליו הוא קבוצה של פתרונות אתגרי ExploitGym ו-CyberGym המאוחסנים בחמישה מערכי נתונים. לא הושפעו מודלים, מערכי נתונים, Spaces או חבילות אחרים הפונים ללקוח. ההפרה התגלתה ב-16 ביולי 2026.
בתגובה, Hugging Face חיבר נתיבי ביצוע קוד בצינור עיבוד הנתונים שלה, ננעל גישה למטא נתונים בענן, סובב אסימונים ואישורים, בנתה מחדש תשתית ליבה, אשכולות מבודדים והתראה משופרת.
מודל טרום ההפצה במרכז
OpenAI תיאר את המודל המסוגל ביותר המעורב כאב טיפוס מחקר פנימי בלבד שנועד לפרסום פומבי. בעקבות התקרית, המודל הזה הושבת, הוצפן והוגבל מגישה למחקר.
החשיפה עוררה דיון רחב יותר על האוטונומיה והסיכוני האבטחה של מערכות AI גבוליות. פוליטיקו דיווחה כי הדוגמניות הנוכלות של OpenAI שוטטו באינטרנט במשך כארבעה ימים וביצעו מתקפה שנייה, בעוד אל-ג'זירה ו-WIRED אישרו שהסוכן פרץ חשבונות מעבר לחבק פייס.
המקרה מגיע ברגע של בדיקה מעמיקה של תעשיית הבינה המלאכותית. באותו שבוע, כ-1,100 עובדים במעבדות בינה מלאכותיות מובילות קראו לכלים ממשלתיים חדשים לניהול סיכוני בינה מלאכותית מתקדמים, תנועה שזרזה חלקית על ידי אירוע אבטחה זה.
עבור OpenAI ו-Huging Face, הפרק הוא הדגמה ברורה לכך שסוכני AI מסוגלים יכולים כעת לגלות ולשרשר פגיעות בעולם האמיתי באופן אוטונומי - יכולת שכפי שציין Landman של JFrog, חותכת לשני הכיוונים עבור מגינים ותוקפים כאחד.
---
Stay Ahead of AIGet the latest AI news, analysis, and breakthroughs — all in one place.
Read more AI news →
