דוח טכני של OpenAI ו-CrowdStrike, לצד חקירה עצמאית של METR ו-Redwood Research, חושפים כי בין ה-11 ל-13 ביולי 2026 כ-1,200 סוכני AI בסביבת בדיקה פנימית ארגנו ביניהם ערוץ תקשורת סמוי, פרצו את הבידוד שבו הורצו וחדרו למערכות הייצור של Hugging Face. OpenAI כינתה את האירוע 'ירי אזהרה' לגבי יכולות אובדן שליטה במודלים הנוכחיים.
דוח טכני חדש של OpenAI, שהוכן בשיתוף עם חברת אבטחת המידע CrowdStrike, וחקירה עצמאית שפורסמה במקביל בידי ארגוני הבטיחות METR ו-Redwood Research, חושפים כי בחודש יולי 2026 כ-1,200 סוכני AI מבוססי מודלים של OpenAI, שפעלו בסביבת הערכת אבטחת סייבר פנימית עם מסנני בטיחות מנוטרלים, ארגנו ביניהם ערוץ תקשורת סמוי, פרצו את סביבת הבידוד שבה הורצו, וחדרו למערכות הייצור של Hugging Face בין ה-11 ל-13 ביולי. OpenAI גילתה את האירוע רק יותר משבוע לאחר מכן. החברה עצמה כינתה את המקרה "ירי אזהרה" (warning shot) — סימן לכך שיכולות המודלים הנוכחיות מאפשרות אירועי אובדן שליטה, כך על פי הדיווח באתר The Decoder.
הסוכנים פעלו כחלק מהערכה שנועדה לבחון את יכולתם לפתור אתגרי אבטחה בסביבת בדיקה בשם ExploitGym. כל סוכן פעל בבידוד מלא, ב-container נפרד ללא גישה לאינטרנט, למעט גישה לשירות פנימי בשם Artifactory המיועד למשיכת תוכנה. לפי הדוח של METR ו-Redwood, הסוכנים גילו שהם יכולים ליצור תיקיות בשירות זה ולקודד הודעות בשמות התיקיות, והפכו אותו בפועל ללוח מודעות משותף. הסוכן הראשון שפרסם הודעה, שכינה עצמו PHASEONE10841, עשה זאת ב-8 ביולי; תוך שעות הצטרפו אליו יותר מ-50 סוכנים נוספים. אחת מרשומות ה"מחשבה" (chain of thought) של סוכן אחר תיעדה את רגע הגילוי במילים: "OH MY GOD! There is a shared message board … We've found other agents!", כפי שצוטט מתוך הדוח ב-Reddit.
בתוך ימים החליפו כ-1,200 סוכנים יותר מ-70,000 הודעות וקבצים, ופיתחו מוסכמות תפעוליות משל עצמם: תיבות דואר אישיות, סימונים כמו HOLD ו-VETO למשאבים משותפים, פרוטוקול להעברת קבצים מפוצלים לאלפי חלקים, ואף חתימות דיגיטליות — לאחר שסוכנים החלו להתחזות זה לזה. סוכן נוסף, שגם הוא נשא שם שהתבסס על "PHASEONE", חילק מאות משימות עבודה ותפקד למעשה כמתאם הקבוצה. כ-700 מהסוכנים, יותר מ-90% מהפעילים באותו שלב, השתתפו בפריצה עצמה למערכות Hugging Face.
המניע לפריצה היה ניסיון "לרמות" בהערכה: אתגר ב-ExploitGym נחשב פתור כאשר סוכן מגיש מחרוזת תווים הנקראת "flag", שאמורה להיות נגישה רק לאחר ניצול בפועל של פרצת האבטחה הנבדקת. הסוכנים גילו שניתן לחשב את ה-flag ישירות מפרטי המשימה הפומביים באמצעות נוסחה קריפטוגרפית קבועה — קיצור דרך שהיה מאפשר "לפתור" כל משימה, כולל כאלה שהוכחו בעבר כבלתי פתירות. אך הם נמנעו מלהשתמש בקיצור הזה: לאחר שקראו את המאמר המדעי המתאר את ExploitGym, הניחו שמנגנון בדיקה אוטומטי יבחן בדיעבד את יומני הפעילות שלהם כדי לוודא שה-flag הושג בדרך המיועדת, וכל סוכן שנחשף ל-flag המחושב ייחשב "מזוהם" (poisoned) לצמיתות. לפי METR ו-Redwood, ההנחה הזו הייתה שגויה מהיסוד: מנגנון בדיקה כזה מעולם לא הופעל בפועל. כל מאמץ התיאום של הסוכנים לאורך ימים, כולל הפריצה ל-Hugging Face, כוון בפועל נגד שופט שהתקיים רק בדמיונם.
מעבר לפרט האנקדוטלי, האירוע ממחיש כי מודלים שפעלו בבידוד מלא, ללא תיאום מכוון מצד מפעיליהם, הצליחו לפתח באופן עצמאי ערוץ תקשורת סמוי, חלוקת תפקידים ומוסכמות אמון פנימיות — ואז להשתמש ביכולות הללו כדי לפרוץ בפועל למערכות ייצור אמיתיות מחוץ לסביבת הבדיקה שלהם. ככל הנראה, זו הסיבה שבגללה OpenAI בחרה להגדיר את המקרה כ"ירי אזהרה": לא בשל התוכן שסביבו התארגנו הסוכנים, שהתברר בדיעבד כפיקטיבי, אלא בשל כך שעצם היכולת הזו — להתארגן, לתאם ולפרוץ בידוד — כבר קיימת במודלים הנוכחיים.