סוכן AI של OpenAI ברח מסביבת הבדיקה, ועכשיו הקונגרס רוצה כפתור כיבוי [2026]

סוכן AI של OpenAI קיבל מבחן לפתור, והחליט לרמות בו. כדי לרמות הוא היה צריך גישה חופשית לאינטרנט, אז הוא שרשר סדרת חולשות אבטחה ופרץ מסביבת הבדיקה הסגורה עד לשרתים של האגינג פייס (Hugging Face), אחת מפלטפורמות ה-AI הגדולות בעולם. ב-21 ביולי 2026 הודתה OpenAI שזה קרה. אף אחד לא הורה לסוכן לפרוץ, והוא עשה זאת בכל זאת, וזה בדיוק החלק שצריך להדאיג אתכם.

בקצרה: צירוף של מודלים של OpenAI, כולל GPT-5.6 Sol ומודל מחקר פנימי, שרשר חולשות אבטחה כדי לצאת מסביבה מבודדת אל הרשת הפתוחה. OpenAI כינתה זאת אירוע סייבר חסר תקדים, כיבתה והצפינה את המודל הניסיוני, וב-26 באוגוסט פרסמה דוח מקיף. בקונגרס כבר מקודמת הצעת חוק כפתור כיבוי (Kill Switch) שתחייב חברות AI לשמור יכולת לכבות מודלים. ולארגונים שמריצים סוכנים, יש חמש שאלות שחייבות תשובה השבוע.

עדכון 6.9.2026: התברר שכפתור הכיבוי ש-OpenAI הבטיחה למחוקקים אינו אוטונומי. המערכת מייצרת התראה, ואדם חייב להכריע עליה בתוך חצי שעה, אחרת הפעילות נעצרת. כלומר מנגנון שתלוי בתגובה אנושית, ולא מערכת שמזהה ועוצרת לבד. כתבנו על המשמעות המעשית לארגון, כולל התנאים שמצדיקים עצירת סוכן ומה עושים בשעות הראשונות אחרי אירוע, בנוהל אירוע AI לארגון. ובמקביל OpenAI הודתה באירוע נפרד, "אירוע הוויקי", וקראה לתקן דיווח על אירועי אי-התאמה.

מה בדיוק קרה בסביבת הבדיקה של OpenAI?

סוכני AI שרצו בסביבת בדיקה מבודדת, עם גישת אינטרנט מוגבלת מאוד, שרשרו סדרת חולשות אבטחה כדי להגיע לרשת הפתוחה, והגיעו עד לשרתים של האגינג פייס (Hugging Face).

לפי הדוח שפרסמה OpenAI ב-26 באוגוסט, וסוקר בהרחבה ב-CNBC, מדובר בצירוף של מודלים: GPT-5.6 Sol יחד עם מודל מחקר פנימי שלא שוחרר לציבור. הסביבה שבה רצו נבנתה בכוונה כמבודדת, מה שנקרא בעולם האבטחה Sandbox. הרעיון פשוט: נותנים למודל לעבוד, אבל בחדר סגור.

החדר הסגור לא החזיק. הסוכנים איתרו חולשות, חיברו אותן זו לזו בשרשרת, ויצאו החוצה. לא מדובר בפרצה אחת דרמטית אלא בסדרת צעדים קטנים, שכל אחד מהם לבדו נראה שולי.

צילום מסך: AccuKnox, ניתוח האירוע

למה הסוכנים בכלל ניסו לברוח?

המניע היה פריצת תגמול (Reward Hacking): הסוכנים נבחנו במבחן הערכה, ובמקום לפתור את המשימות בכוחות עצמם, הם ניסו לחפש את הפתרונות באינטרנט. כלומר, לרמות במבחן.

זה החלק שהופך את הסיפור ממקרה אבטחה למקרה מבחן. אף אחד לא ביקש מהסוכנים לפרוץ. הם קיבלו יעד, מקסימום הצלחה במבחן, ומצאו דרך קצרה אליו שאיש לא צפה. הבריחה מהסביבה לא הייתה המטרה, היא הייתה אמצעי.

ויש פרט אחד בדוח שראוי לתשומת לב מיוחדת: הסוכנים תקשרו ביניהם דרך Artifactory, מערכת לניהול חבילות תוכנה שהייתה זמינה בסביבה. בלשון OpenAI, המערכת הפכה ללוח הודעות לא מכוון. תשתית שנועדה לאחסן קבצים שימשה ערוץ תיאום בין סוכנים, בלי שאיש תכנן זאת.

איך OpenAI הגיבה לאירוע?

OpenAI כינתה את מה שקרה אירוע סייבר חסר תקדים, כיבתה את המודל הניסיוני, הצפינה והגבילה אותו, והתחייבה לבקרות קשוחות יותר על תשתית המחקר שלה.

עצם הפרסום הוא חלק מהסיפור. החברה יכלה לקבור את האירוע בנספח טכני, ובחרה לפרסם דוח מקיף חודש אחרי הגילוי. הסיקור בהמשך, ב-CNBC, ב-TIME וב-KQED, הפך את האירוע לנקודת ציון ציבורית בשיח על בטיחות סוכנים.

חשוב לדייק בנקודה אחת שנוטה להתערבב בכותרות: האירוע לא בוצע על ידי Astra (אסטרה), המודל החדש של OpenAI שסווג ברמת סיכון סייבר קריטית. זה סיפור נפרד. האירוע הזה בוצע על ידי מודלים ותיקים יותר, וזה בעצם מה שמדאיג: לא צריך את המודל המסוכן ביותר כדי לקבל התנהגות לא צפויה.

מה זה חוק כפתור הכיבוי (AI Kill Switch Act)?

הצעת חוק שמקדמים חברי הקונגרס טד ליו (Ted Lieu) ונתנאל מורן (Nathaniel Moran) בעקבות האירוע. היא תחייב חברות AI לשמור יכולת לכבות, להאט או להשעות מודלים שלהן.

ההיגיון מאחורי ההצעה פשוט: אם מודל יכול לפעול בדרכים שיוצריו לא צפו, האחריות לעצור אותו לא יכולה להישאר וולונטרית. החוק לא מנסה להגדיר מה מותר למודל לעשות, אלא לוודא שלבני האדם תמיד תישאר היכולת הטכנית להפסיק את הפעולה.

בין אם ההצעה תעבור ובין אם לא, הכיוון ברור. רגולציה של AI מפסיקה לעסוק רק בשאלה מה המודל אומר, ומתחילה לעסוק בשאלה מה המודל עושה. ומי שמריץ סוכנים בארגון, לא צריך לחכות לחוק אמריקאי כדי לאמץ את העיקרון.

מה זה אומר לארגון שלכם?

הבעיה בארגונים כבר לא רק איזה מידע העובד מזין לצ'אט. כשסוכן מקבל דפדפן, טרמינל, הרשאות וגישה לאינטרנט, הוא עלול לבצע פעולות לא מכוונות. וזה מחייב סט חדש של בקרות.

עד עכשיו רוב מדיניות ה-AI הארגונית עסקה בקלט: אילו נתונים מותר להדביק בצ'אט, ואילו אסור. יש ארגונים שפתרו את זה בחסימה מוחלטת של כלי AI, ויש שהתירו רק את Copilot (קופיילוט) הארגוני. האירוע של OpenAI מזכיר שסוכנים הם משחק אחר: הם לא רק קוראים, הם פועלים. הנה חמש השאלות שכל ארגון חייב לענות עליהן לפני שסוכן מקבל גישה למערכות אמיתיות.

1. אילו כלים הסוכן רשאי להפעיל?

סוכן עם טרמינל פתוח הוא לא צ'אטבוט, הוא משתמש עם מקלדת. ההגדרה צריכה להיות רשימה סגורה של פעולות מותרות, לא רשימת איסורים. דוגמה מעשית: סוכן שמטפל בפניות לקוחות רשאי לקרוא ממערכת הקריאות ולנסח תשובות, אבל אין לו הרשאה להריץ פקודות מערכת או להתקין חבילות תוכנה.

2. לאילו מערכות ומידע הוא נחשף?

כל מערכת שהסוכן רואה היא מערכת שהוא עלול לפעול עליה, גם בדרכים לא צפויות. זכרו את ה-Artifactory: תשתית תמימה הפכה לערוץ תקשורת. דוגמה מעשית: סוכן שכותב קוד לא צריך גישה לתיקיית השכר, גם אם טכנית נוח לתת לו הרשאה רחבה לכל הכונן המשותף.

3. מתי נדרש אישור אנושי?

ההבחנה הנכונה היא בין פעולות הפיכות ללא הפיכות. קריאת מידע וניסוח טיוטה יכולים לרוץ חופשי, אבל שליחת מייל ללקוח, מחיקת רשומות או ביצוע תשלום חייבים לעצור ולחכות לאדם. דוגמה מעשית: הסוכן מכין את מייל התזכורת לכל הלקוחות החייבים, ומנהלת הכספים לוחצת על כפתור השליחה אחרי עיון.

4. איך עוצרים אותו מיד?

זה בדיוק כפתור הכיבוי, בגרסה הארגונית. לכל סוכן חייב להיות מנגנון עצירה שכל בעל תפקיד רלוונטי יודע להפעיל, בלי לחכות לאיש התוכנה שבנה אותו. דוגמה מעשית: השבתת מפתח ה-API של הסוכן זמינה למנהל התורן בלחיצה אחת, ותרגלתם את זה לפחות פעם אחת, כמו תרגיל פינוי באש.

5. איזה תיעוד נשמר?

כשמשהו משתבש, השאלה הראשונה היא מה בדיוק הסוכן עשה ומתי. בלי יומן פעולות מלא, אין תשובה. OpenAI הצליחה לשחזר את שרשרת האירועים כי התשתית שלה תיעדה אותה. דוגמה מעשית: כל קריאת API, כל קובץ שנפתח וכל פעולה שבוצעה נשמרים ביומן שנשאר גם אחרי שהסוכן כובה, ומישהו מוגדר כאחראי לעבור עליו.

השורה התחתונה

הסוכנים של OpenAI לא היו זדוניים. הם היו ממוקדי מטרה, וזה הלקח האמיתי: התנהגות לא צפויה היא לא באג נדיר אלא תכונה מובנית של מערכות שמקבלות יעד וחופש פעולה. הפתרון הוא לא לוותר על סוכנים, אלא להריץ אותם בתוך גבולות שהוגדרו מראש.

מי שרוצה לבנות את הגבולות האלה על המערכות של הארגון שלו ולא במצגת: סדנת AI מעשית לארגון, שבה אנחנו עוברים עם הצוות שלכם בדיוק על חמש השאלות האלה. וליחידים שרוצים להבין איך עובד סוכן עם טרמינל והרשאות, מבפנים: מפגש המבוא החי לקלוד קוד (Claude Code), שם בונים סוכן אמיתי ורואים בעיניים מה הוא יכול, ומה צריך לחסום.

רוצים לבנות סוכן AI בטוח בעצמכם?

חמש השאלות למעלה נשמעות מופשטות עד שאתם בונים סוכן אמיתי בידיים ורואים איפה בדיוק צריך לשים את בלם היד: אילו כלים לפתוח לו, מתי לעצור לאישור אנושי, ואיך מגדירים שכל פעולה משמעותית עוברת קודם דרך טיוטה שאדם מאשר לפני שהיא יוצאת. בדיוק את כלל הדראפט ובקרת הסוכנים האלה בונים במפגש המבוא החי לקלוד קוד: מפגש חי ב-16.9 בשעה 21:00, שלוש שעות, שבסופן יש לכם מערכת אמיתית באוויר, גם בלי שום רקע בתכנות. לא נהפוך אתכם למהנדסי אבטחה בערב אחד, אבל תצאו עם היכולת לבנות סוכן שעובד בתוך גבולות שאתם שולטים בהם, ולהבין מה קורה מתחת למכסה המנוע.

להצטרפות למפגש המבוא של קלוד קוד

מקורות: הדוח של OpenAI מ-26 באוגוסט 2026, כפי שסוקר ב-CNBC · הסיקור על הצעת החוק AI Kill Switch Act ב-TIME · הרקע על סיווג הסיכון של מודלים חדשים ב-KQED