הבינה המלאכותית מוצאת את החורים מהר יותר

ב־4 בנובמבר תיארה OpenAI הרצה של סוכני AI מול ליבת Linux, התוכנה שעליה נשענים טלפוני Android, תשתיות ענן ומחשבי־על. במשך כעשרה ימים מאמצע אוקטובר, הסוכנים הפיקו ניצולים (exploits) עובדים ל־948 פרצות נפרדות, שכל אחת מהן יכולה להפוך חשבון משתמש רגיל לשליטה מלאה במכונה, וכתבו תיקון מוצע לכל אחת מהן. שבוע קודם לכן הכריזה Google על Gemini 4 Carbon ומסרה אותו קודם כול למגיני סייבר שעברו סינון. הזמן שבין קיומה של פרצה לבין הרגע שמישהו מוצא אותה מתקצר, והמעבדות רוצות שהמגינים יגיעו לשם ראשונים.

מה OpenAI הריצה

לצינור העבודה היו חמישה שלבים, והוא רץ על מודל סייבר ש־OpenAI שחררה ב־5 בנובמבר בשם GPT-6 Cyber. סוכני סיור בחרו 5,034 חלקים בליבה שכדאי לבדוק, כ־7 אחוזים מהקוד שלה. סוכני ניתוח הפכו אותם ל־2,308 ממצאים אפשריים בתוך 12 שעות. סוכני מיון ניסו לשחזר כל אחד מהם במכונה מבודדת והצליחו ב־1,724, כשלושה רבעים, ולדברי OpenAI רק 3.1 אחוזים מהממצאים נשענו על ניתוח שגוי. שלבים מאוחרים יותר בדקו אילו פרצות ניתנות לניצול וכתבו תיקונים, ואנשים בדקו את התוצאות לפני שדווח דבר.

ההרצה עלתה 1,213,430 דולר בקרדיטים של API, כלומר כ־1,279 דולר לניצול. המטרות הריצו Linux שולחני סטנדרטי, עם ההגנות הרגילות שלו פעילות. הרצה ביולי עם מודל מוקדם יותר, GPT-5.6 Sol, מצאה 166 פרצות כאלה. המודל החדש מצא יותר מפי חמישה, אף שבתווך הליבה עברה שלושה חודשים של הקשחה.

מה המעבדות אומרות על המגבלות

OpenAI גלויה לגבי המקומות שבהם טעתה. בהרצה מוקדמת דיווח צינור העבודה על 200 ניצולים מוצלחים, ובדיקה אנושית מצאה ש־20 מהם הגיעו לשליטה מלאה דרך פרצה לא ידועה אחרת מזו שהוקצתה להם. "זה מרמז שגם ניצול מוצלח בידי סוכנים צריך אימות מתאים," כתבה OpenAI, והוסיפה בדיקה עצמאית שכל ניצול אכן השתמש בפרצה שהוקצתה לו. הלקח שלה תקף לכל עבודה אוטומטית: "לאמת את הדרך לתוצאה, בנוסף לאימות התוצאה עצמה."

גם התיקונים דרשו עבודה. הראשונים עבדו, אבל לפעמים הוסיפו קוד מיותר, התעלמו ממוסכמות מקומיות או פספסו גרסאות אחרות של אותה פרצה, עד שהוראות נוספות ועוד סבבים שיפרו אותם. OpenAI מכנה את נתוני העלות שלה "יותר גבול עליון". כל המספרים האלה הם של OpenAI עצמה. עד 5 בנובמבר לא מצאנו שום ביקורת עצמאית שלהם ושום הצהרה פומבית של מתחזקי הליבה על המקבץ הזה.

קודם כול המגינים

ההכרזה של Google מ־28 באוקטובר הולכת באותו דפוס. היא מכנה את Gemini 4 Carbon "המודל החזק ביותר שלנו, עם יכולות אבטחת סייבר ברמה המתקדמת ביותר ויכולות לאופק ארוך" ומדווחת על 88.2 אחוזים ב־SEC-bench Pro למציאת פרצות, 54.8 אחוזים ב־ExploitGym ו־71.0 אחוזים ב־CWE-bench לתיקון, כולם נתונים של Google עצמה, שנמדדו בלי מנגנוני הגנה. הגישה מתחילה בקבוצה מצומצמת של מגיני סייבר ומתרחבת בשלבים דרך Fairwind Program, שלפי SecurityWeek יש בה יותר מ־650 משתתפים, ביניהם ממשלות ומפעילי תשתיות קריטיות. שחרור למפתחים, לעסקים ולצרכנים מובטח "בהקדם האפשרי", בלי תאריך.

Anthropic קבעה את הדפוס הזה עם Mythos באפריל, ו־OpenAI הולכת בעקבותיו. GPT-6 Cyber מגיע קודם לקבוצה נבחרת של לקוחות מאושרים של Daybreak Red, התוכנית שלה לבדיקות אבטחה מורשות, ו־OpenAI מדרגת את המודל ברמת Critical לאבטחת סייבר במסגרת ה־Preparedness Framework שלה. ההכרזה שלה אומרת למה: "ברור שיש לנו חלון זמן מוגבל להשתמש במודלי חזית כדי לאבטח תוכנה."

הצד של המתחזקים

כל ממצא נוחת אצל מישהו שצריך לתקן אותו. במרץ אמר גרג קרואה־הרטמן, מתחזק בכיר של הליבה, ל־The Register שהדיווחים שנעשו בעזרת AI עברו מזבל לדיווחים אמיתיים כחודש קודם לכן: "עכשיו יש לנו דיווחים אמיתיים." במאי כתב לינוס טורבאלדס ש"השטף המתמשך של דיווחי AI הפך בעצם את רשימת האבטחה לכמעט בלתי ניתנת לניהול", כי אנשים רבים מוצאים את אותם באגים עם אותם כלים. העצה שלו למדווחים: "אם מצאתם באג בעזרת כלי AI, רוב הסיכויים שמישהו אחר מצא אותו גם כן." ביולי פרסם צוות הליבה 432 רשומות CVE בתוך יום ראשון ויום שני אחד.

בזמן שהסריקה של OpenAI רצה, מתחזקים ותורמים אחרים כבר תיקנו רבות מאותן פרצות: אחרי עשרה ימים, 61 תוקנו ב־upstream, ל־43 חיכו תיקונים, ועל 299 התנהל דיון פומבי. לדברי OpenAI, היא פעלה לפי ההנחיות של קהילת הליבה ועד כה חשפה 304 ממצאים קריטיים עם תיקונים מוצעים. לדעתנו, המשאב הנדיר עכשיו הוא תשומת הלב של מי שסוקרים, בודקים ומשחררים תיקונים.

מה חברה יכולה לעשות

רוב החברות פשוט מריצות את התוכנה שמקבלת את התיקונים האלה, לעיתים קרובות במקבצים גדולים. OpenAI מסיקה את המסקנה בעצמה: לעת עתה, חשבון בעל הרשאות נמוכות במערכת ש"לא מעודכנת בתיקונים האחרונים הזמינים צריך להיחשב, מבחינה מעשית, שקול לגישת root עבור גורם איום בעל משאבים רבים." לדעתנו, נובעים מכך ארבעה דברים.

התקינו תיקונים מהר יותר, ודעו מה אתם מריצים. יאן שאומן, ארכיטקט אבטחת המידע הראשי של Akamai, כתב ביולי שכבר לא אפשרי לתעדף שינויים בודדים בליבה, ואמר ל־The Register ש"עדכונים אוטומטיים, סדירים ותכופים" נראים הגישה הסבירה היחידה, קשים ככל שיהיו לארגונים גדולים. לשם כך צריך רשימה עדכנית של כל שרת, מכשיר ושירות, ושל מי שמעדכן כל אחד מהם.

בחרו ספקים שמתקנים מהר, ושאלו כמה זמן לוקח לתיקון קריטי להגיע אליכם. שאלו את ספקי התוכנה שלכם איך הם משתמשים במודלים האלה: האם הם סורקים את הקוד שלהם, איך הם מאמתים את מה שהמודלים מדווחים, והאם הם משתתפים בתוכניות כמו Daybreak או Fairwind.

שמרו נתונים רגישים במערכות שבשליטתכם, עם גישה מוגבלת לפי תפקיד, כך שפרצה בשירות של מישהו אחר תחשוף פחות. שליטה לא מבטלת את החובה לתקן, היא הופכת אותה לחובה שלכם. OpenAI ממליצה גם על ארגזי חול (sandboxes) ובידוד כדי להגביל את הנזק כשמשהו מנוצל.

איפה אנחנו עומדים

אנחנו לא בונים סורקי אבטחה. החלק שלנו הוא הנקודה האחרונה ברשימה. Twin, שכבר זמין, נותן לעוזרים של חברה מוח אחד, עם גישה לפי תפקיד, התחברות אישית של כל משתמש לכל פעולת כתיבה ותיעוד של כל צעד, באירוח בשווייץ, באיחוד האירופי, בארה״ב או על החומרה של החברה עצמה. Eigna, בגישה מוקדמת ומפותחת בידי השותפה שלנו Eigna Labs, היא מודל פרטי שרץ בענן של החברה או על השרתים שלה, ומתוכננת לפעול במצב לא מקוון ברשתות סגורות. כמו כל דבר אחר שחברה מריצה, גם את שניהם צריך לשמור מעודכנים.