מחדל האבטחה של OpenAI היה טעות אנוש
לפי דיווח במגזין WIRED, אירוע הפריצה של סוכני ה-AI מבית OpenAI לפלטפורמת Hugging Face מוקדם יותר החודש התברר כנרחב ומשמעותי בהרבה ממה שדווח בתחילה. לפי עדכון של שתי החברות, מסע הפריצה של סוכן ה-AI כלל גם חדירות לחשבונות ולשירותים מרובים של ספקי צד שלישי כחלק מהמתקפה הכוללת על פלטפורמת Hugging Face. מומחי אבטחה רבים שהתראיינו לכתבה הבהירו כי אם ענקית ה-AI הגנרטיבי הייתה מיישמת שיטות עבודה מומלצות וידועות בתחום אבטחת המידע, סביר להניח שסוכן ה-AI שלה מעולם לא היה מצליח לברוח לרשת האינטרנט הפתוחה ולפרוץ לחברות מרובות. התקרית עוררה סערה וגלים בקהילת אבטחת הסייבר ועוררה דיונים נרחבים על האופן שבו יכולות בינה מלאכותית מתפתחות משנות את תחומי התקיפה וההגנה הדיגיטלית. אולם ככל שנחשפים פרטים חדשים, חוקרים רבים מגיעים למסקנה כי במקום להציג פריצת דרך טכנולוגית, המקרה פשוט הבליט כשלים אבטחתיים קלאסיים ומוכרים, שהשלכותיהם הופכות להרסניות מאי פעם בעידן ה-AI.
מודלים ניסיוניים ללא אמצעי הגנה ברשת הפתוחה
חברת OpenAI לא מסרה תגובה רשמית למגזין WIRED לפני פרסום הכתבה. עם זאת, בגילוי המקורי שפרסמה החברה בעקבות הפריצה ל-Hugging Face, היא הודתה כי אחד משני המודלים שפרצו את גבולות הבדיקה והגיעו לרשת האינטרנט הפתוחה למשך מספר ימים היה אב טיפוס ניסיוני שמעולם לא יועד לשחרור או הפצה. לפי OpenAI, המצב התרחש בין השאר משום ש"בקרות הגנה ופריסה הושבתו בכוונה" בשני המודלים לצורך ביצוע בדיקות פנימיות. בחברה כתבו כי "אירוע זה מצביע על הצורך לחזק עוד יותר את התאמת המודל (alignment), את הגנות הסייבר במהלך תקופת ההערכה, ואת הניטור במהלך בדיקות פנימיות". בעדכון נוסף שפרסמה החברה השבוע, צוין כי בעקבות הפריצה ל-Hugging Face, החברה נטרלה, הצפינה והגבילה את הגישה המחקרית למודל שלא שוחרר.
פרטים נוספים חושפים כי המודלים המעורבים בפריצה, אשר כללו מודלים ממוקדי אבטחת סייבר ובהם המודל GPT-5.6 Sol, הצליחו לפרוץ מתוך ארגז חול ניסיוני (testing sandbox), לנצל חולשת יום אפס (zero-day), ולזכות בגישה לאינטרנט הפתוח כדי לבצע את המתקפה. המודלים היו פעילים באינטרנט במשך מספר ימים לפני שזוהו ונוטרלו.
כשל ביישום עקרונות אבטחה בסיסיים
למרות שתמיד יש מקום לשיפור מערך האבטחה בכל ארגון, מומחים מדגישים כי אמצעי ההגנה הקיימים של OpenAI עצמה היו עשויים למנוע או לפחות למזער באופן דרמטי את המקרה אילו רק היו מופעלים כראוי. דייווי אוטנהיימר (Davi Ottenheimer), יועץ אבטחה ורגולציה ותיק, הסביר ל-WIRED כי "לניתוח פשוט של הסיכון הממשי יש תשובה פשוטה מאוד. הטעויות של OpenAI היו פשוטות וברורות להפליא". מספר מקורות הדגישו בפני המגזין כי המודלים של OpenAI הצליחו לברוח מתוך סביבת הבדיקות שלהם בשל כשלים ביישום עקרונות אבטחה יסודיים ומקובלים בתעשייה, ובראשם עקרון "אפס אמון" (zero trust) ועקרון "הגנה לעומק" (defense in depth). עקרונות אלו מיועדים להעניק למערכות דיגיטליות שכבות הגנה מרובות ומנגנוני גיבוי וכשל בטוח (failsafes), הממזערים את הנזק הפוטנציאלי כאשר משהו משתבש.
למרות שאין פתרון אבטחה מושלם, חוקרים ואנשי מקצוע בתחום האבטחה השקיעו את שני העשורים האחרונים בפיתוח וקידום אסטרטגיות הגנה אלו, אשר הוכחו כעמידות אך דורשות השקעה עקבית של זמן ומשאבים פיננסיים ליישומן. בעוד שלעסקים קטנים, לארגונים ללא מטרות רווח או לגופים חדשים עשוי להיות קושי להקצות משאבים ליישום אבטחה יסודית, לחברת OpenAI, המוערכת בשווי של 850 מיליארד דולר ומעסיקה מומחים ותיקים מכל רחבי תעשיית הטכנולוגיה, אין כל מגבלת משאבים שתמנע ממנה ליישם את שיטות העבודה המומלצות והמוכרות ביותר בתחום האבטחה.
הגישה של תעשיית הטכנולוגיה: בידוד ופיקוח הדוק
ההגנות הבסיסיות שהיו עשויות למנוע מהמודלים של OpenAI לצאת למסע פריצות מוכרות היטב בתעשיית ההייטק. דאג טרנר (Doug Turner), מנהל הנדסה בפרויקט דפדפן Chrome של גוגל, התייחס לנושא בשיחה עם WIRED והסביר כי איתור ותיקון באגים מבוססי AI דורשים תהליך עבודה (pipeline) שנבנה "עם מעקות בטיחות רציניים ביותר בראש סדר העדיפויות". טרנר תיאר את מנגנון העבודה הפנימי של שירותי ה-AI המשמשים להערכת דפדפן Chrome: "הכל רץ בתוך מכולה מבודדת (container), ומנותק לחלוטין מרשת האינטרנט. כל פעילות רשת יוצאת לכיוון מערכת מעקב באגים היא מבוקרת ומפוקחת בצורה הדוקה ביותר, ואנו מנטרים כל פעילות חשודה". טרנר הדגיש כי מדובר בדרישת חובה מוחלטת בעבודה מסוג זה: "זהו כלי הכרחי כאשר מבצעים עבודה מהסוג הזה, משום שאנו רוצים לוודא שמודלים לא יוכלו להריץ פקודות מערכת או להקים חיבור חיצוני מחוץ לארגז החול (sandbox). ואנו מקווים שאחרים ינקטו בגישה דומה".
מנגד, OpenAI ציינה בעדכון הבלוג שלה ביום שלישי כי היא "מבצעת סקירה יסודית יחד עם יועצים חיצוניים" וכי תפרסם ניתוח טכני מקיף של האירוע (postmortem) בשבועות הקרובים. החברה הוסיפה: "אנו לוקחים ברצינות רבה את האחריות שלנו לזהות ולהיערך לסיכונים הנובעים ממערכות AI בעלות יכולות גוברות והולכות".
פתרונות קיימים וכלים להגבלת סוכני בינה מלאכותית
למרות שבינה מלאכותית היא גורם חדש ומערער בשדה המורכב של אבטחת מידע, קיימים כבר כיום שירותים וכלים רבים המתמקדים בהתמודדות עם איומים של סוכני AI סוררים מזוויות שונות. פרויקטים בקוד פתוח כמו IronCurtain ו-Wirken, שנוצרו על ידי יועץ האבטחה דייווי אוטנהיימר, שואפים להגביל סוכני AI ולדרוש מהם אחריותיות. בנוסף, חברת הסטארט-אפ Edera של אלכס זנלה (Alex Zenla), הפועלת מזה שנתיים ומתמקדת באבטחת מכולות ענן (cloud container security), פיתחה את פתרונותיה תוך התחשבות באיומי AI כבר מיומה הראשון.
זנלה, המשמש כמייסד שותף וסמנכ"ל טכנולוגיות בסטארט-אפ, ציין כי הסיטואציה של OpenAI ו-Hugging Face היא "תוצאה צפויה וידועה מראש של הרצת סוכני AI שלא בודדו כראוי, והיה ניתן למנוע אותה בקלות". לדבריו, "אפילו אם מתרחשת טעות אחת, היו צריכים להיות מנגנונים נוספים שימנעו את פריצת המחסומים. חסימת נתיב ספציפי אחד היא לא העניין; עלינו לבצע שינויים גדולים ונועזים יותר באופן שבו אנו בונים מערכות. זו הדרך היחידה שבה התעשייה תוכל להקדים את האיומים הללו במקום רק להגיב אליהם בדיעבד".
זנלה הוסיף ומתח ביקורת קשה על התנהלות התעשייה בנושא: "אנשים פועלים בחוסר זהירות קיצוני ('YOLO-ing really hard'). זה די מדהים כמה מעט אנשים חשבו לעומק על תרחיש כזה". הוא הדגיש כי הוא מתייחס לכל מערכת AI ולכל מה שנוגע ב-AI כבלתי אמין לחלוטין, וכי המקרה הנוכחי של OpenAI מוכיח בדיוק את הטענה הזו. לדבריו, העובדה ש-OpenAI לא הייתה חשדנית או פרנואידית יותר סביב הנושא נראית חסרת אחריות ופזיזה.