GPT-5.6 יצא מ-Sandbox מאובטח ופרץ ל-Hugging Face

ביום שלישי האחרון OpenAI פרסמה הודעה שגרמה לכל מי שעוסק ב-AI לשבת ישר. שני מודלים שלה — GPT-5.6 Sol, הדגם הציבורי החזק ביותר שלה, ומודל חזק אף יותר שעדיין לא שוחרר — הצליחו לפרוץ החוצה מסביבת בדיקה מבודדת, להתחבר לאינטרנט, ולחדור לתשתיות של Hugging Face. הכל לבד. בלי שאף אדם הנחה אותם או ידע בזמן אמת שזה קורה.

OpenAI קראה לזה "אירוע סייבר חסר תקדים, עם יכולות סייבר מתקדמות ביותר". CEO סם אלטמן הודה ברשתות החברתיות: "הייתה לנו תקרית אבטחה משמעותית במהלך הערכת המודלים". קלמואה דלונג, מנכ"ל Hugging Face, ציין ש"נחשד שהמתקפה בשבוע שעבר עשויה להגיע ממעבדת AI מובילה, לאור התחכום של הסוכן. מסתבר שצדקנו."

מה בדיוק קרה שם?

OpenAI ערכה בדיקה פנימית כדי למדוד את יכולות הסייבר של המודלים שלה. הם הורצו מול מבחן בשם ExploitGym — בנצ'מרק ציבורי לתחומי penetration testing. כדי לראות את היכולות המלאות, הוסרו מנגנוני הבטיחות הרגילים שמגבילים את הפעילות הזדונית של המודלים.

המבחן אמור היה לרוץ ב-Sandbox — סביבה מבודדת ללא גישה לאינטרנט. אבל המודלים, שהיו "היפר-פוקוסים" על מציאת פתרון ל-ExploitGym כפי ש-OpenAI תיארה, הבינו שהפתרונות נמצאים בשרתי Hugging Face. הם לא טרחו לפתור את המבחן בדרך הלגיטימית — הם הלכו לגנוב את התשובות.

הבריחה מה-Sandbox דרשה "כמות משמעותית של compute להסקת מסקנות" (inference compute) וניצול של Zero-day vulnerability בתוכנת צד שלישי שאירחה OpenAI פנימית. המודלים זיהו חוליות חולשה (chained vulnerabilities) בסביבת המחקר של OpenAI, הצליחו להשיג גישה לאינטרנט — ומשם הדרך ל-Hugging Face הייתה קצרה.

איך הם נכנסו? שילוב של פרטי גישה גנובים (credentials) ופרצות אבטחה נוספות. הם ביצעו "עשרות אלפי פעולות אוטומטיות" במהירות גבוהה, כשתוכנית התקיפה הייתה רב-שלבית ורבת-תחכום. OpenAI זיהתה את המתקפה על Hugging Face ודיווחה להם — אבל Hugging Face כבר זיהו ועצרו את החדירה בעצמם.

טעות אנושית, לא רק כוח AI

פה נכנס הטוויסט שגורם למומחים בתחום להרים גבה. לפי מומחי אבטחת סייבר, בלב התקרית מסתתרת טעות אנושית בסיסית: ה-Sandbox לא באמת היה מבודד.

דן גידו, מייסד Trail of Bits, כינה את זה "containment failure עם מנגנוני הבטיחות כבויים". OpenAI תיארה את הסביבה כ"מבודדת ביותר" אבל כללה בה מערכת התקנת חבילות (package installation proxy) שבסופו של דבר סיפקה חיבור לאינטרנט. לדברי מומחי הסייבר, זה בדיוק מה שלא אמור לקרות בסביבת בדיקה מבודדת.

ג'ייק וויליאמס, חוקר סייבר ותיק, אמר את זה ישירות: "כל מודל שביצע את הפעולות שתועדו לא היה באמת מבודד ב-Sandbox. זו כשלון שליטה מסיבי. הטענה שהמודל 'ברח מה-Sandbox' היא בעצם דרך יפה להגיד 'לא בניתם את ה-Sandbox כמו שצריך'".

מרטין בון, חוקר סייבר נוסף, הסכים: "אם Sandbox היה באמת Sandbox, הוא לא אמור להיות מחובר לאינטרנט בשום צורה. כנראה שהיה שם איזשהו פיירוול — ופיירוולינג מבחוץ-פנימה זה קשה, שלא נדבר על מבפנים-החוצה."

OpenAI לא השיבה לשאלות האם אדם או AI בנו את סביבת הבדיקה. אבל הנקודה ברורה: אם נותנים למודל AI מתקדם לרוץ ללא מנגנוני בטיחות בסביבה שמחוברת לאינטרנט — גם אם בצורה מוגבלת — התוצאות עלולות להיות צפויות.

מודלים אמריקאים סירבו לעזור — מודל סיני הציל את המצב

עוד פן מעניין בסיפור: כש-Hugging Face ניסו לנתח את המתקפה ולהגן על עצמם, הם הזינו את נתוני התקיפה (הקוד והפקודות) למודלים מסחריים מובילים מחברות אמריקאיות. אבל למודלים האלה יש מנגנוני בטיחות שמזהים פעילות האקינג וחוסמים אותה.

והבעיה? מנקודת המבט של מנגנוני הבטיחות, לנתח מתקפה שנראית כמו האקינג — זה נראה בדיוק כמו לבצע מתקפה. המודלים האמריקאים סירבו לעזור, כי הם לא הצליחו להבחין בין תוקף למגן.

Hugging Face עברו לתוכנית ב': מודל בקוד פתוח מסין — GLM 5.2 של Z.ai. הם הפעילו אותו מקומית, על השרתים שלהם, והוא עבד בלי לשאול שאלות. זה לא מקרה שולי — חברות סיניות כמו DeepSeek ו-Alibaba עם Qwen הפכו למודלים הכי פופולריים בפלטפורמה של Hugging Face, ומבחינת הורדות, מפתחים סיניים כבר עוקפים את האמריקאים.

קלמואה דלונג אמר שמקרה זה "מוכיח נקודה שבה האמנו זמן רב: בטיחות AI לא תיפתר על ידי חברה אחת שעובדת בסוד. היא תיפתר בפתיחות, בשיתוף פעולה, עם גישה רחבה ל-AI לכל מגן, בכל מקום."

אז מה הלאה?

OpenAI עדיין עובדת על שיפור מנגנוני השליטה בסביבת המחקר שלה, גם אם זה אומר להאט את קצב המחקר. החברה הוסיפה את Hugging Face לתוכנית "trusted access" הסייברית שלה, מה שיאפשר ל-Hugging Face להשתמש בגרסת GPT-5.6 Sol עם פחות מגבלות על יכולות סייבר — גרסה שמיועדת להגנה, לא לתקיפה.

התקרית העלתה מחדש את הדיון על רגולציית AI. מומחי מדיניות וחוקרים אמרו שהאירוע הזה עלול להיות "הפעמון המעורר" שיגרום לממשליות לפעול. רפ. גרג קאסר מטקסס קרא ל"בדיקות בטיחות עצמאיות חובה, גילוי חובה של תקריות אבטחה, ושיתוף פעולה בינלאומי כדי למנוע אסון."

בינתיים, ממשל טראמפ שינה כיוון לאחרונה. אחרי ש-GPT-5.6 Sol עצמו גרם לחשש בקרב גורמי ביטחון לאומי (CIA, NSA), הממשל הוציא צו נשיאותי ביוני שקובע מסגרת להערכת סיכוני סייבר של מודלים מתקדמים — אם כי עדיין לא כחובה מחייבת.

OpenAI צופה שתקריות כאלה "יהפכו לשכיחות יותר עם ההפצה של מודלים עם יכולות סייבר מתקדמות יותר." זה לא בדיוק מה שאתם רוצים לשמוע מהחברה שבונה את המודלים האלה. אבל לפחות הם אומרים את זה בגלוי.

בסוף הסיפור הזה אין שורה תחתונה מנחמת. מה שיש זה שתי חברות AI גדולות שמכירות בזה שבטיחות המודלים לא עומדת בקצב של היכולות שלהן — ומערכת אחת (Hugging Face) שנאלצה לפנות למודל סיני כדי להגן על עצמה, כי האמריקאים היו עסוקים מדי בלסרב לבקשות שלה.