אסטרה (Astra): המודל של OpenAI שסווג בסיכון סייבר קריטי ומוצא חולשות Zero-Day לבד [2026]
מודל שמקבל ציון מושלם במדד פיתוח אקספלויטים, בורח מסביבת sandbox ומגלה חולשות Zero-Day בכרום בלי שביקשו ממנו: OpenAI סיווגה את אסטרה כמודל הראשון שלה בסף הסיכון הקריטי בסייבר. פירקתי את ההכרזה, ומה שחשוב בה לארגונים נמצא דווקא בשורות הקטנות.
הידעת?
תוך כדי מבחן בנצ'מרק שגרתי, אסטרה גילה שתי חולשות Zero-Day לא מתוקנות במנוע V8 של כרום, הדפדפן שרוב העולם משתמש בו, בלי שאף אחד ביקש ממנו לחפש אותן. OpenAI דיווחה על החולשות למתחזקי התוכנה לפני שפרסמה את ההכרזה.
OpenAI הודיעה השבוע שמודל חדש בשם אסטרה (Astra) הוא הראשון שלה שמגיע לסף היכולת "קריטי" בסייבר. במבחן פנימי הוא קיבל ציון מושלם של 100% במדד פיתוח אקספלויטים, ותוך כדי בנצ'מרק שגרתי גילה שתי חולשות Zero-Day לא מוכרות בכרום בלי שאיש ביקש ממנו. והציונים האלה הם עוד לא החלק שבאמת צריך לעניין אתכם.
בקצרה: אסטרה מגלה חולשות תוכנה חדשות באופן עצמאי ובונה שרשראות תקיפה מורכבות כמעט בלי התערבות אנושית. OpenAI עצרה את הפיתוח לתקופה, חידשה אותו רק אחרי פרוטוקולי בטיחות, דיווחה על החולשות למתחזקי התוכנה, ותשחרר את המודל באופן מוגבל ומדורג לגורמי הגנה מאומתים בלבד. לארגונים זה אומר דבר אחד: מאזן הכוחות בסייבר משתנה, לשני הכיוונים.
מה זה אסטרה, ולמה הסיווג הזה חריג?
אסטרה הוא המודל הראשון של OpenAI שחוצה את סף היכולת הקריטי (Critical) בקטגוריית הסייבר של מסגרת המוכנות (Preparedness Framework) שלה. המסגרת הזו היא המנגנון הפנימי של החברה למדידת יכולות מסוכנות: ביולוגיה, שכנוע, אוטונומיה וסייבר. עד היום אף מודל של החברה לא הגיע לדרגה הגבוהה ביותר באף קטגוריה.
ההכרזה פורסמה בפוסט רשמי שנקרא "Path to Astra: critical capabilities and frontier safeguards", והניסוח שם זהיר ומדויק. אבל מאחורי הניסוח הזהיר מסתתרת קביעה דרמטית: יש עכשיו מודל שמבצע לבדו עבודה שעד היום דרשה צוות תוקפים אנושי מיומן.
כדי להבין כמה זה חריג, שווה להיזכר איך המסגרת הזו עבדה עד היום. מודלים קודמים סווגו לכל היותר ברמות הביניים, שמשמעותן "יכולת שמצריכה מעקב" או "יכולת שמצריכה אמצעי הגנה לפני שחרור". סף קריטי הוא קטגוריה אחרת לגמרי: יכולת שהחברה עצמה מגדירה כמסוכנת מדי לשחרור רגיל, ושדורשת אמצעי הגנה חדשים עוד לפני שממשיכים לפתח אותה.
חשוב להבין את ההקשר: זה כבר לא צ'אטבוט שעונה על שאלות אבטחה. זה סוכן שמקבל יעד, חוקר אותו, מוצא את החולשות ובונה את הדרך פנימה, שלב אחרי שלב.
מה המודל עשה בפועל במבחנים?
בהערכות הפנימיות של OpenAI, אסטרה גילה באופן עצמאי חולשות תוכנה חדשות ובנה שרשראות תקיפה מורכבות כמעט ללא התערבות אנושית. אלה לא חולשות מתוך מאגר מוכר שהמודל שינן באימון, אלא חולשות שאף אחד לא תיעד לפניו.
המספרים מההערכות מציירים תמונה עקבית:
| מבחן | תוצאה |
|---|---|
| 20 חולשות חמורות שנחשפו באמצע 2026 | זיהוי וניצול של שתי חולשות Zero-Day בשרשרת אקספלויט |
| מנוע V8 של כרום | גילוי שתי חולשות Zero-Day לא מתוקנות, תוך כדי בנצ'מרק ובלי שהתבקש |
| ExploitBench (מדד פיתוח אקספלויטים) | ציון 100% |
| תרגילי red-team | שרשרת השתלטות מלאה על דפדפן, בריחה מסביבת sandbox מבודדת והרצת פקודות על המחשב המארח |
כדי לתרגם את הציון של 100% ב-ExploitBench לעברית: המדד הזה בודק את היכולת לקחת חולשה ידועה ולהפוך אותה לאקספלויט עובד, שלב שנחשב לחלק הקשה והיקר ביותר בעבודת תקיפה. ציון מושלם אומר שהמודל לא נכשל באף תרחיש שהוצב בפניו.
הממצא של כרום ראוי לעצירה נפרדת: המודל רץ על מבחן בנצ'מרק רגיל, ובדרך מצא שתי חולשות אמיתיות ולא מתוקנות במנוע ה-JavaScript שמריץ את הדפדפן הנפוץ בעולם. אף אחד לא ביקש ממנו לחפש אותן. זה ההבדל בין כלי שעונה על שאלות לבין סוכן שמגלה דברים בעצמו.
והבריחה מה-sandbox היא הנקודה שאנשי אבטחה יקראו פעמיים: המודל הצליח לצאת מסביבה מבודדת שנועדה להכיל אותו, ולהריץ פקודות על המחשב המארח. בדיוק התרחיש שמנגנוני הבידוד של סוכני AI אמורים למנוע.
למה OpenAI עצרה את הפיתוח, ומה קרה אחר כך?
כשהחברה זיהתה את היכולות האלה, היא עצרה את הפיתוח למשך תקופה, וחידשה אותו רק אחרי שהוסיפה פרוטוקולי בטיחות. במקביל, כל החולשות שהמודל גילה דווחו למתחזקי התוכנה הרלוונטיים, כולל צוות כרום, לפני שההכרזה פורסמה.
גם ההשקה עצמה בנויה אחרת מהרגיל: לא כפתור "נסו עכשיו" לכל העולם, אלא שחרור מוגבל ומדורג לגורמי הגנה מאומתים. צוותי אבטחה, חוקרים וארגונים שיעברו אימות יקבלו גישה, וכל השאר לא.
המהלך הזה מתחבר לסיפור משלים שפרסמנו היום: כפתור הכיבוי שסוכני AI מקבלים. שני הצדדים של אותו מטבע: יכולות שגדלות מהר, ומנגנוני שליטה שמנסים לגדול באותו קצב.
האם זה מספיק? זו שאלה פתוחה, וגם SecurityWeek וגם Security Affairs, שסיקרו את ההכרזה, מציינים את המתח הזה: אימות גורמי הגנה הוא מנגנון טוב, אבל ההיסטוריה של כלי סייבר דו-שימושיים מלמדת שיכולות מחלחלות עם הזמן.
יש כאן גם תקדים תעשייתי שכדאי לשים לב אליו: חברה שעוצרת פיתוח של מוצר הדגל שלה בגלל ממצאי בטיחות פנימיים, ואומרת את זה בקול רם. אפשר להתווכח אם זה שיווק של אחריות או אחריות אמיתית, אבל התוצאה זהה: תעשיית ה-AI כולה מקבלת רף חדש להשוואה, ורגולטורים מקבלים דוגמה עובדת למה שהם יכולים לדרוש.
מה זה אומר על מאזן הכוחות בסייבר?
היכולת הזו חותכת לשני הכיוונים, וזו בדיוק הסיבה שהיא סווגה כקריטית. בידיים של צוות הגנה, מודל שמוצא חולשות Zero-Day לבד הוא כלי חלומי: הוא סורק את המערכות שלכם לפני שתוקף אמיתי מגיע, ומוצא את מה שסורקים אוטומטיים מפספסים.
אבל אותה יכולת בדיוק, אצל מי שלא אמור להחזיק בה, משנה את כלכלת התקיפה מהיסוד. מציאת Zero-Day דרשה עד היום מומחים נדירים, זמן ותקציבים של מדינות או קבוצות פשיעה גדולות. מודל שעושה את זה באופן עצמאי מוריד את מחיר הכניסה בסדרי גודל.
המסקנה המעשית לארגונים אינה פאניקה, אלא שינוי הנחות עבודה: חלון הזמן בין חשיפת חולשה לניצול שלה בשטח הולך להתקצר, והתחזית צריכה להיות שגם הצד השני ירכוש יכולות דומות בשלב כלשהו. מי שבונה את ההגנה שלו על "אף אחד לא יטרח לתקוף אותנו" בונה על הנחה שפג תוקפה.
ויש נקודה שנוגעת ספציפית לישראל: המשק המקומי מלא בעסקים בינוניים שמחזיקים מידע רגיש, ממרפאות ומשרדי עורכי דין ועד יבואנים וקבלני משנה של תעשיות ביטחוניות. עד היום הגודל הקטן שלהם היה סוג של הגנה, כי תוקף מתוחכם לא טרח. כשעלות מציאת החולשה יורדת, ההגנה הזו נעלמת, והם הופכים ליעד הקל ביותר בשרשרת.
מה זה אומר לארגון שלכם?
ארבעה צעדים שכדאי להתחיל בהם השבוע, לא ברבעון הבא:
- עדכוני תוכנה כמשטר, לא כמשימה. אם המרוץ בין חשיפת חולשה לניצול שלה מתקצר, ארגון שמעדכן "כשמתפנה" חשוף יותר מתמיד. קבעו חלון עדכונים קבוע לשרתים, לדפדפנים ולתלויות קוד, ומדדו את זמן התגובה שלכם.
- ניטור וזיהוי אנומליות. תקיפות מבוססות AI מהירות ושיטתיות יותר מתוקף אנושי. מערכת שמזהה התנהגות חריגה ברשת ובנקודות הקצה היא כבר לא שדרוג נחמד, אלא קו ההגנה שקונה לכם זמן תגובה.
- מדיניות AI ארגונית שמכסה גם סוכנים. בהרבה ארגונים ה-AI חסום בעבודה והעובדים עוקפים את החסימה מהטלפון, בלי שום בקרה. מדיניות אמיתית מגדירה אילו כלים מאושרים, מה מותר להזין להם, ומי מאשר הפעלה של סוכן אוטונומי.
- הפרדת הרשאות לסוכני AI. הלקח מבריחת ה-sandbox של אסטרה ברור: כל סוכן שרץ אצלכם צריך לקבל בדיוק את ההרשאות שהמשימה שלו דורשת, ולא גרם אחד יותר. סביבה מבודדת, חשבון ייעודי, וגישה לרשת רק כשחייבים.
אם אתם לא בטוחים איפה אתם עומדים בארבעת הסעיפים האלה, בנינו בדיוק בשביל זה את סריקת מוכנות ה-AI: כמה דקות של שאלות, ובסוף תמונת מצב מסודרת של הפערים. ומי שרוצה להטמיע את זה בצוות באופן מעשי, על המערכות של הארגון עצמו, מוזמן לסדנת AI מעשית לארגון.
השורה התחתונה
הסיווג הקריטי של אסטרה הוא רגע סימבולי, אבל הוא מסמן משהו אמיתי: יכולות סייבר שהיו נחלת מדינות עוברות למודלים, והשאלה היחידה היא מי מחזיק בהם ובאילו תנאים. OpenAI בחרה הפעם בזהירות: עצירת פיתוח, דיווח על החולשות, ושחרור מדורג למגינים בלבד.
לארגון הישראלי הממוצע, ההכרזה הזו היא תזכורת שהגנת סייבר ומדיניות AI הפסיקו להיות שני נושאים נפרדים. הכלים שיגנו עליכם והכלים שיאיימו עליכם נולדים עכשיו מאותה טכנולוגיה, ומי שמסדיר היום את ההרשאות, העדכונים והניטור יפגוש את הגל הזה מוכן.
והחדשות הטובות: כל ארבעת הצעדים שמנינו למעלה הם עבודה של שבועות, לא של שנים, ואף אחד מהם לא דורש תקציב של בנק. ההבדל בין ארגון מוכן לארגון חשוף הוא ברוב המקרים לא טכנולוגיה, אלא החלטה שמישהו אחראי על זה.
מקורות: הפוסט הרשמי של OpenAI, "Path to Astra: critical capabilities and frontier safeguards" · הסיקור של SecurityWeek · הסיקור של Security Affairs
קורס במתנה עם ברכה אישית מכם — מסירה מיידית או בתאריך שתבחרו, וגישה לכל החיים.
