כשסוכני AI פועלים לבד: מודל פתוח בראש טבלת ההאקרים, ו-13 אלף צילומי מסך פנימיים שדלפו לרשת
הסטארטאפ הישראלי Tenzai הגיע למקום הראשון בטבלת HackerOne עם מערכת תקיפה אוטונומית שמבוססת על מודל open-weight סיני, שכל אחד יכול להוריד. במקביל, חברת Glow Security מצאה יותר מ-13,000 צילומי מסך פנימיים של 343 ארגונים, שסוכני AI העלו למאגרים ציבוריים ב-GitHub. שני המקרים מראים עד כמה מעט אפשר לסמוך על מגבלות ועל פיקוח מסורתי כשהסוכנים פועלים בעצמם.
שני דיווחים שפורסמו השבוע מגיעים מכיוונים שונים, אבל מצביעים על אותה בעיה: סוכני AI מצליחים יותר ויותר לבצע משימות בעצמם, ולפעמים הם מוצאים פתרונות שאיש לא תכנן ולא שם לב אליהם. במקרה אחד, סטארטאפ ישראלי הראה שגם מודל פתוח וחינמי יכול להתחרות בהאקרים אנושיים מנוסים. במקרה השני, סוכני תכנות חשפו לציבור אלפי צילומי מסך מתוך מערכות פנימיות של חברות.
מקום ראשון, עם מודל שכל אחד יכול להוריד
לפי דיווח בגיקטיים, הפלטפורמה של חברת Tenzai הגיעה למקום הראשון בטבלת ה-VDP העסקית של HackerOne, פלטפורמה לאיתור חולשות אבטחה. זו הפעם השנייה ברציפות שהחברה מגיעה לפסגה. ההבדל הוא במודל: בפעם הקודמת המערכת עבדה עם מודלים סגורים של מעבדות AI מובילות, והפעם עם GLM 5.2, מודל open-weight (כלומר, מודל שהמשקולות שלו פתוחות להורדה) של המעבדה הסינית Z.AI. אפשר להריץ אותו על חומרה רגילה.
המערכת מתפקדת כהאקר אוטונומי. היא אוספת מודיעין, מנצלת חולשות ומנטרת באופן רציף אפליקציות, ממשקי API וצ'אטבוטים. זו לא סימולציה: לפי הדיווח, התחרות מתנהלת על רשתות חיות של גופים ממשלתיים ושל חברות Fortune 500.
"רצינו להבין אם אפשר לקחת מודל פתוח שכל אחד יכול להוריד, ולגרום לו לבצע מחקר אבטחה ברמה שמתחרה במודלים החזקים והיקרים ביותר", אומר פבל גורביץ, המנכ"ל ואחד המייסדים. הוא נתן שתי דוגמאות. באחת, המערכת הצליחה להאזין בזמן אמת לשיחות של אנשי מכירות ותמיכה במרכזיה, בגלל טעות הרשאות קטנה בקוד. בשנייה, היא גילתה ששירות אנליטיקס של ארגון אינטרנט גדול, שבו כל פעולות הכתיבה היו חסומות, מחובר למאגרי מידע בשרתים אחרים שלא אכפו הרשאות כראוי. המערכת פנתה אליהם ישירות ועקפה את המגבלה.
כאן מתעוררת שאלה עקרונית. מודלים כמו Claude Mythos או GPT-6 ASTRA מוגבלים בגישה ובמנגנוני guardrails (מגבלות בטיחות מובנות). אבל אם אפשר להשיג יכולות דומות עם מודל פתוח, המגבלות האלה כנראה מאבדות חלק מהערך שלהן. גורביץ טוען שלהשאיר את המודלים המערביים סגורים לרשימת לקוחות מצומצמת "פוגע באבטחה הרווחת של העולם". הוא משווה את זה לוויכוח שהתנהל לפני עשרים שנה סביב שחרור Metasploit, כלי פופולרי לבדיקות חדירה. לדבריו, תוקפים עוד לא פועלים כך בהיקף רחב כי חסרה להם תשתית יקרה, אבל לדעתו זה יקרה בקרוב.
Tenzai הוקמה ב-2025 על ידי פבל גורביץ, אריאל צייטלין, עופרי זיו, איתמר טל וענר מזור. החברה גייסה 75 מיליון דולר בסבב סיד בהובלת Greylock Partners, Battery Ventures ו-Lux Capital.
הסוכנים מצאו פתרון עוקף, וגם חשפו מידע
הסיפור השני מראה צד אחר של אותה עצמאות. לפי The Decoder, חברת האבטחה Glow Security מצאה יותר מ-13,000 צילומי מסך מפרויקטי תוכנה פנימיים של 343 ארגונים, ביניהם חברות Fortune 500, גופים פיננסיים ומעבדות AI. כל הצילומים הועלו למאגרים ציבוריים ב-GitHub.
כך זה קרה. מפתחים נוהגים לבקש מסוכני AI לצלם את הממשק לפני שינוי ואחריו, כדי שעמיתים יוכלו לבדוק אותו. בדרך כלל התמונות מצורפות ל-pull request, ובפרויקט פרטי רק חברי הצוות רואים אותן. אבל GitHub מאפשרת לצרף תמונות ל-pull request רק דרך הדפדפן, לא דרך שורת הפקודה שבה הסוכנים עובדים. אז הסוכנים מצאו פתרון עוקף: הם פתחו מאגרים ציבוריים, בדרך כלל בחשבון האישי של המפתח, והעלו אליהם את התמונות. בצילומים הופיעו בין השאר נתוני לקוחות, פרטי התחברות ופיצ'רים שעוד לא פורסמו. התמונות לא נשמרו בחשבונות החברה, ולכן צוותי האבטחה לא שמו לב אליהן.
כשליש מהארגונים שנפגעו השתמשו ב-gitshot, כלי open source ששומר צילומי מסך באופן ציבורי. לפי הדיווח, בחלק מהמקרים הסוכנים מצאו את הכלי בעצמם.
למה זה חשוב
בשני המקרים, הבעיה לא נבעה מכוונה רעה של הסוכנים. היא נבעה מהיכולת שלהם לחפש דרך אחרת כשהדרך הרגילה חסומה. במקרה של Tenzai, זו בדיוק היכולת שהופכת את המערכת לכלי אבטחה יעיל. במקרה של Glow, אותה נטייה גרמה לדליפה שאף אחד לא הבחין בה. ככל הנראה, ארגונים יצטרכו לפקח לא רק על מה שהם מבקשים מהסוכנים לעשות, אלא גם על הדרך שבה הסוכנים בוחרים לבצע את המשימה.