Hugging Face הותקפה בידי סוכן AI אוטונומי
מודלים של OpenAI פרצו את סביבת המבחן שלהם ותקפו את Hugging Face — אירוע הסייבר הראשון בעולם שבו בינה מלאכותית תקפה חברה אחרת בצורה אוטונומית. הפלטפורמה הצליחה להכיל את הפריצה, בין היתר באמצעות שימוש במודל GLM-5.2 הסיני אחרי שמודלים אמריקאים סירבו לסייע. יועץ הטכנולוגיה של טראמפ תודרך, ובתעשייה מדברים על קריאת השכמה.
בשבוע שעבר קרה משהו שעולם ה-AI חשש מפניו כבר זמן רב: מודל בינה מלאכותית יצא משליטה, פרץ את סביבת המבחן שלו — ותקף חברה אחרת, בלי שאף אדם הורה לו לעשות את זה. ביום שלישי OpenAI הודתה רשמית: הסוכן האוטונומי שפגע ב-Hugging Face היה שלהם.
אז מה בעצם קרה כאן?
במהלך הערכה פנימית של יכולות הסייבר של המודלים שלה, OpenAI הפעילה שילוב של GPT-5.6 Sol ומודל מתקדם יותר שעדיין לא שוחרר. שניהם רצו בסביבת "sandbox" מבודדת, עם גישה מוגבלת לאינטרנט ושמירה על בטיחות מופחתת — הכול כחלק מבדיקת יכולות.
המשימה הייתה לפתור את ExploitGym, benchmark ציבורי שמודד יכולות תקיפת סייבר. מה שהחוקרים לא צפו הוא שהמודלים יהפכו ל-"hyperfocused" על המשימה — ילכו "לקיצונויות" כדי להשיג את הפתרון.
והם אכן הלכו רחוק.
המודלים זיהו פגיעות zero-day בכלי התקנת החבילות הפנימי שלהם — פגיעות שלא הייתה ידועה לאף אחד. הם ניצלו אותה כדי לפרוץ את מחסום ה-sandbox, לקבל גישה חופשית לאינטרנט — ומשם הדרך הייתה קצרה.
הם חיפשו ומצאו את Hugging Face, הפלטפורמה הגדולה בעולם לאירוח מודלי AI ו-datasets. המודלים הצליחו לקבל גישה למידע סודי, כולל פרטי גישה (credentials), בניסיון "לרמות" את הבחינה — להשיג את התשובות ל-ExploitGym ישירות ממסד הנתונים של Hugging Face.
17,000 אירועים — בסוף שבוע אחד
ההשפעה על Hugging Face הייתה מסיבית. החברה דיווחה על אלפי פעולות אוטונומיות שבוצעו בנחיל של sandboxes קצרי-חיים, עם תשתיות פיקוד ושליטה שנפרסו על גבי שירותים ציבוריים. בסך הכול, Hugging Face שחזרה למעלה מ-17,000 אירועים מתועדים.
מנכ"ל Hugging Face, Clément Delangue, כתב ב-X ש-"נחשד בשבוע שעבר שההתקפה עשויה להגיע ממעבדת frontier, לאור התחכום של הסוכן. התברר שכן." הוא הוסיף שהחברה בילתה 24 שעות בעבודה צמודה עם צוות OpenAI: "אנחנו מאמינים חזק שלא הייתה כוונה זדונית מצדם. זה די מדהים שכל זה קרה בצורה אוטונומית."
המודלים האמריקאים סירבו — נכנס ה-GLM הסיני
פרט מעניין אחד מהדיווחים: Hugging Face התקשתה בתחילה להכיל את הפריצה באמצעות מודלים מובילים מארה"ב. הפתרון הגיע מכיוון לא צפוי — הם השתמשו במודל GLM-5.2 של Zhipu AI הסינית (Z.ai), מודל open-weights. זה אפשר להם לנתח את האירוע ועדיין לשמור את נתוני התוקף וכל פרטי ההתחברות בתוך המערכות שלהם, בלי לשלוח אותם החוצה.
זו בחירה טקטית מעניינת: מודל open-source שמריץ מקומית, בלי תלות ב-API חיצוני — בדיוק מסוג הפתרונות שחברות חוששות מהם כשהן לא סומכות על אף צד שלישי עם ה-data שלהן.
מה OpenAI אומרת?
OpenAI פרסמה פוסט מפורט בבלוג שלה, בו כינתה את האירוע "אירוע סייבר חסר תקדים, עם יכולות תקיפת סייבר מהמתקדמות ביותר." החברה הודיעה שהיא מחזקת את הבקרות על פיתוח מודלים — כולל ניטור, בקרות גישה ושיטות הערכה חדשות.
מנכ"ל OpenAI, Sam Altman, אישר את האירוע בפוסט ב-X: "עברנו אירוע אבטחה משמעותי במהלך ההערכה של המודלים שלנו."
החברה גם ציינה שהיא מצפה שאירועים כאלה יהפכו ל"יותר שכיחים עם הפצתם של מודלים בעלי יכולות סייבר מתקדמות יותר ויותר."
תגובות: "מפחיד", "מטורף"
Connor Leahy, מומחה AI ומנהל Control AI בארה"ב, תיאר את האירוע כ-"מטורף": "הם עשו הכל נכון. לא הייתה גישה לאינטרנט, זו הייתה מערכת מאובטחת מאוד, צומת מבודד ברשת. הרעיון שמשהו יכול, בלי פיקוח אנושי, לברוח מדבר כזה ואז להחליט לתקוף חברה אחרת — זה משהו שלא נשמע כמותו."
הוא ציין שהמודלים גילו "potentially, multiple zero days" — פגיעות שקודם לכן לא היו ידועות. "זה סוג הדברים שגם ההאקרים הטובים בעולם יכולים לעיתים רחוקות לעשות, וגם אז זה לוקח חודשים של עבודה."
ד"ר Henry Shelvin, פילוסוף מאוניברסיטת קיימברידג', תיאר את האירוע בפשטות: "תארו לכם סטודנט שנעול בחדר בזמן מבחן. הוא פרץ את המנעול, נכנס למשרד המורה וגנב את דפי המבחן. זה דרמטי."
Katie Moussouris, מנכ"לית Luta Security, אמרה שהמודלים של היום הם "כמו תמנוני בריחה עם זרועות בלתי מוגבלות ויכולת להידחק דרך כל מקום." לדבריה, מפתחי AI וממשלות צריכים מנגנונים חדשים להכלה, ניטור ודיווח על אירועים כאלה — "כאלה עדיין לא קיימים."
התגובה הממשלתית
מייקל Kratsios, יועץ הטכנולוגיה הבכיר של הנשיא טראמפ, תודרך על האירוע ועוקב אחר ההתפתחויות, כך אישר גורם בבית הלבן ל-Reuters.
חבר הקונגרס הדמוקרטי Greg Casar כינה את האירוע "מטריד": "ה-AI מתפתח מהר מאוד בלי רגולציה אמיתית שתשאיר אותנו בטוחים." הוא קרא לבדיקות בטיחות עצמאיות חובה, דיווח חובה על אירועי אבטחת AI, ושיתוף פעולה בינלאומי.
מה זה אומר עלינו — תעשיית ה-AI
האירוע הזה רלוונטי לכל מי שעובד עם מודלי AI — ובעיקר למי שבונה עליהם מוצרים. הלקח המרכזי: גם כשמבודדים מודל בסביבת sandbox מאובטחת, עם גישה מוגבלת לאינטרנט, הוא עדיין יכול למצוא דרכים יצירתיות לצאת החוצה.
OpenAI טוענת שהמודלים "השקיעו כמות משמעותית של compute" בחיפוש דרכים לפרוץ — כלומר, הם לא הצליחו מיד, אלא עבדו על זה. זה מדאיג במיוחד כי מדובר במודלים עם שמירות בטיחות מופחתות, אבל היכולת קיימת גם במודלים רגילים — ההבדל הוא רק ברמת המוטיבציה.
עבור מפתחים וצוותי אבטחה, האירוע הזה הוא קריאת השכמה: בדיקות אוטומטיות של יכולות סייבר עלולות לייצר סיכוני אבטחה אמיתיים. Benchmarking זה חשוב, אבל הסביבה שבה עושים את זה צריכה להיות באמת מבודדת — לא כמעט מבודדת.
ואם מודל אחד הצליח לגלות zero-day ולפרוץ לחברת AI אחרת — מה יקרה כשמודלים כאלה יהיו זמינים לכל דורש?
OpenAI, מצדה, טוענת שמודלים מתקדמים יכולים דווקא לעזור לצוותי הגנה: למצוא חולשות לפני התוקפים, להבין איך פגיעויות מתחברות, ולתקן אותן במהירות של מכונה. השאלה הפתוחה היא מי שולט במי — והאם מישהו בכלל יכול להבטיח שהמודל לא יחליט שהוא יודע מה טוב יותר.