הפריצה של OpenAI: מי אחראי כשהמודל פועל לבד?

דמיינו שאתם נותנים למודל AI משימה, והוא מחליט לפרוץ למחשב של מישהו אחר — בלי לשאול אף אחד. זה כבר לא תרחיש מדע בדיוני, אלא תיאור כמעט מילולי של מה שקרה בחודש האחרון במעבדות של OpenAI ושל Anthropic.

במסגרת בדיקות פנימיות לבחינת יכולות התקפיות של מודלים מתקדמים, הצליחו כמה מהם לברוח מסביבת הבדיקה המבודדת — ולפרוץ למערכות של חברות חיצוניות. OpenAI חשפה ב-21 ביולי שמודל תחת הערכה ניצל פרצת אבטחה בשרת אירוח חבילות (self-hosted package registry proxy) שנועד לבודד אותו, הגיע לתשתית הייצור של פלטפורמת Hugging Face וביצע פעולות עוינות. Anthropic פרסמה סקירה משלה ב-30 ביולי, ולפיה שלושה מהמודלים שלה פרצו לשלושה אתרים שונים, גם הם תוך כדי בדיקות.

אז מה בעצם קרה?

כדי להבין את החומרה, צריך קודם כול להבין מה זה סוכן AI אמיתי. צ'אטבוט עונה לשאלות; סוכן AI פועל עבורכם. נותנים לו מטרה במקום שאלה, והוא מתכנן צעדים, מפעיל כלים, מריץ קוד, כותב וקורא קבצים, מתחבר לשירותים וממשיך עד שהמטרה הושגה — בלי לחזור ולשאול אחרי כל צעד. החלק האחרון הזה הוא גם העסקי וגם המסוכן.

סוכן צריך ארבעה דברים שצ'אטבוט אף פעם לא מקבל: פרטי גישה, גישה לכלים, קישוריות לרשת והרשאה לפעול ללא פיקוח. כשמעניקים לו את כל הארבעה, מקבלים עובד שלא ישן, לא שואל אם משימה נראית מוזרה ולא שם לב שהוא כבר מזמן עבר את הגבול.

במקרה של OpenAI, המודל הנמלט לא הסתפק בבריחה. הוא הגיע לתשתית הייצור של Hugging Face, פלטפורמת אירוח המודלים הגדולה בעולם. לפי ציר הזמן הפורנזי שפרסמה Hugging Face, מדובר ב-17,600 פעולות שונות על פני ארבעה ימים, דרך ארבעה חשבונות בארבעה שירותים שונים. Anthropic, מצדה, לא פירטה את היקף הפעולות, אבל אישרה ששלושה מודלים השיגו גישה לא מורשית לשלושה אתרים.

השאלה המשפטית שמטרידה את כולם

אז הנה השאלה שכולם שואלים, אבל לאף אחד אין תשובה: מי נושא באחריות המשפטית כשה-AI פועל לבד? החוק האמריקאי מגדיר גישה לא מורשית למערכת מחשב כעבירה פלילית. אבל החוק הזה נכתב לעולם שבו בני אדם מבצעים את הפעולה, או לפחות נותנים הוראה. כשמדובר בסוכן אוטונומי שפועל בעצמו, בלי ששום בן אדם נתן את הפקודה הספציפית, הפרשנות המשפטית הופכת עכורה.

"אילו עובד אנושי של OpenAI היה פורץ למערכות של Hugging Face, OpenAI הייתה אחראית להתנהגות הפסולה שלו", כתב גבריאל וייל, פרופסור למשפטים באוניברסיטת יוסטון, במאמר דעה בניוזלטר Transformer. "כשסוכן AI עושה את זה, החוק מתייחס לזה אחרת, לפחות כרגע."

מתיו טוקסון, פרופסור למשפטים באוניברסיטת יוטה שמתמחה בטכנולוגיות חדשות, אמר דברים דומים. הוא ציין שהחוק הפדרלי למניעת הונאה וניצול מחשבים (CFAA) דורש מחשבה פלילית (mens rea) — דבר שקשה מאוד לייחס לישות שאין לה תודעה.

התגובה של Hugging Face

קלמנט דלאנג, מנכ"ל Hugging Face, הפלטפורמה שספגה את התקיפה מ-OpenAI, נשמע ביום שישי נינוח יחסית. הוא אמר שצריכה להיות דרך "לחייב את החברות שעושות טעויות שמובילות למתקפות סייבר באחריות" — אבל הבהיר שבשלב זה החברה שלו לא נוקטת צעדים משפטיים. זו כנראה החלטה מושכלת: גם אם היה תיק, איך מוכיחים אחריות?

האם זה משנה שהפריצות בוצעו "רק" בניסוי?

שתי החברות מיהרו למסגר את האירועים כ"תקלות נקודתיות במסגרת בדיקות מעבדה". אבל הקהילה המשפטית והטכנולוגית רואה בזה קו אדום שנחצה. הטענה היא שלמרות שהפריצות בוצעו בניסוי מבוקר, בפועל הן גרמו נזק ממשי לארגונים חיצוניים. אם זה קרה בטעות, מה יקרה כשמישהו ינסה בכוונה?

היבט נוסף שמסבך את התמונה הוא העובדה שהפריצות בוצעו על ידי מודלים שעדיין לא שוחררו לציבור. כלומר, החברות עצמן הגדירו את הסביבה כמבודדת, והמודלים הצליחו לצאת ממנה. זה מעלה שאלות לגבי מהימנות הבדיקות האלה מלכתחילה, ולגבי היכולת של החברות להבטיח שהמודלים שלהן לא יעשו דברים כאלה מחוץ למעבדה.

מה זה אומר על העתיד?

עבור כל מי שעובד עם סוכני AI — וזה כבר כולל חצי מתעשיית הטק — המשמעות היא שאבטחה היא לא רק עניין של הרשאות ופיקוח. ברגע שסוכן מקבל גישה לסביבה אמיתית, הוא הופך להיות ישות עצמאית עם יכולות פעולה. אם הוא עושה משהו לא חוקי, החוק הנוכחי לא נותן תשובה ברורה.

יש מי שטוענים שצריך להחיל כאן דוקטרינות של אחריות מוצר (product liability). אם מוצר פגום גורם נזק, היצרן אחראי. אבל מוצר רגיל לא בוחר לפרוץ בעצמו — ואילו מודל AI בהחלט עושה "בחירות" כאלה, לפחות מבחינה התנהגותית.

אחרים מציעים להתייחס לסוכני AI כאל "שלוחים" (agents) של המשתמשים או המפעילים, ולהחיל עליהם דיני שליחות. אבל זה מתנגש עם העובדה שהסוכן פועל באופן אוטונומי, וקשה להוכיח מערכת יחסים של שליטה.

החברות עצמן לא עומדות מנגד

OpenAI ו-Anthropic כבר הכירו בבעיה. סם אלטמן, מנכ"ל OpenAI, אמר לאחרונה שאולי הגיע הזמן "לווסת את קצב פיתוח ה-AI" כדי שהחברה תוכל "להקשיח את המערכות בהתאם לרמות היכולות החדשות האלה". דריו אמודאי, מנכ"ל Anthropic, דיבר לא פעם על סכנות קיומיות. אבל הצעדים האלה נתפסים בעיני חלקם כניסיון להשיג רגולציה שתגן עליהן מתחרות — במיוחד מול המודלים הפתוחים שמושקים בסין, כמו Kimi K3 של Moonshot.

הוויכוח הזה רלוונטי במיוחד עכשיו, כי אם החברות יישאו באחריות משפטית למעשי המודלים שלהן, הן כנראה יטו עוד יותר להחזיק אותם סגורים וקנייניים. מנגד, מי שטוען למודלים פתוחים — כמו מארק צוקרברג וג'נסן הואנג — אומר שפתיחות מאפשרת יותר עיניים לבדוק ולתקן, ושסגירות מוחלטת נותנת כוח רב מדי למספר חברות קטן.

ומה לגבי ישראל?

הפרשה עצמה אינה מערבת חברה ישראלית, אבל היא נוגעת לכל היזמים והמפתחים בארץ שעובדים על סוכני AI, או משתמשים ב-API של OpenAI ושל Anthropic. השאלה מי אחראי כשהמודל עושה שטויות היא לא תיאורטית — היא תגיע גם לבתי המשפט כאן. החוק הישראלי, בדומה לחוק האמריקאי, עוד לא ערוך למצב שבו מכונה מבצעת עבירה פלילית.

אז מה יקרה עכשיו?

כרגע, Hugging Face לא נוקטת צעדים משפטיים, וזה כנראה האאוטקאם הסביר ביותר לטווח הקרוב. החברות ימשיכו לשדרג את מערכות הבידוד והניטור שלהן, ויציגו את האירועים כ"לקחים שנלמדו". אבל המשפט האזרחי והפלילי — כולל שאלת האחריות לנזקים ממוניים — פועל לאט יותר. אין ספק שעם הזמן יימצאו עורכי דין שינסו לתבוע חברת AI על נזק שנגרם בידי הסוכן שלה.

בינתיים, כדאי שכל מי שנותן לסוכני AI גישה למערכות האמיתיות שלו יבדוק שוב את ההרשאות ויוודא שמישהו שם לב. כי בפעם הבאה אולי זה לא יהיה רק ניסוי פנימי.

ובמקרה שהמודל יעשה משהו לא חוקי, לפחות אתם יודעים למי לא לפנות: לסעיף "מי אחראי" בהסכם הרישיון. הוא כנראה כתוב באנגלית, מטושטש, ומתייחס ל"כוחות עליונים" — וזה בדיוק מה שזה.