404 Media

דיווח חדש חושף כי מספר בלתי ידוע של שיחות Claude ויישומוני Artifacts אינטראקטיביים של משתמשי השירות נמצאו זמינים לחיפוש פומבי בגוגל. הגילוי התרחש לאחר שמשתמשי Reddit הבחינו כי הזנת שאילתת חיפוש פשוטה כמו 'site:claude.ai/share' מעלה רשימה ארוכה של שיחות משותפות. חלק מהשיחות הללו הכילו מידע רגיש במיוחד, כולל רשומות רפואיות, מסמכים עסקיים פנימיים ופרטי קשר של ילדים. חברת אנתרופיק הטילה את האחריות לחשיפה על המשתמשים עצמם, וטענה כי הקישורים נסרקים על ידי מנועי חיפוש רק אם פורסמו באופן פומבי בפורומים או ברשתות חברתיות. מנגד, גוגל הבהירה כי מנועי החיפוש אינם שולטים בדפים המועלים לרשת ומכבדים את הגדרות הסריקה של בעלי האתרים. נראה כי הבעיה כבר תוקנה מאז הדיווח.

סיכום חדשות האבטחה השבועי של מגזין WIRED חושף שורה של אירועי פרטיות וסייבר משמעותיים. במרכזם, דוח של קרן מוזילה מראה כי אפליקציות פופולריות למעקב אחר מחזור, כמו Stardust, משתפות נתוני בריאות רגישים ביותר של משתמשות עם חברות צד שלישי ללא ידיעתן, בעוד שרק אפליקציה אחת, Euki, זכתה לציון הגנה מושלם. בנוסף, מתקפת סייבר רוסית של סוכנות ה-FSB כמעט שגרמה להשבתת רשת החשמל בפולין, והאקר המזוהה עם שירותי המודיעין הרוסיים נמצא כמי שעבד בעבר בחברת אבטחת המידע קספרסקי. הדיווח מפרט גם פריצה חמורה לפלטפורמת שיתוף המידע של משרד האבטחה הלאומית של ארה"ב (DHS) שסווגה בטעות פעמיים כהתרעת שווא, וכן פריצה למחולל המוזיקה Suno שחשפה שיטות סריקה נרחבות של עשרות אלפי שעות תוכן מוגן מיוטיוב ומקורות נוספים לצורך אימון מודלים של בינה מלאכותית.

מחקרים ונתונים שפורסמו לאחרונה, כולל חשיפה של 404 Media לגבי חברת הייעוץ Accenture, מראים כי חברות רבות מתמודדות עם עלייה בלתי נשלטת בהוצאות ה-AI שלהן. עובדים המשתמשים במודלים מתקדמים למשימות פשוטות כמו המרת קבצי PDF למצגות שוחקים במהירות את תקציבי ה-API של הארגונים, בתופעה המכונה "Tokenmaxxing". המנהלים הבכירים, בהם מנהלי כספים (CFOs), מדווחים כי העלויות הופכות לבלתי צפויות ללא החזר השקעה ברור, מה שמוביל למדיניות חדשה של "קיצוב טוקנים" והגבלת הגישה לכלים יקרים.

המעבר המהיר לאוטומציה ושילוב בינה מלאכותית חושף עסקים לפרצות אבטחה חסרות תקדים. דוח אבטחה מקיף של מגזין WIRED חושף כיצד האקרים ניצלו את מערכת התמיכה המבוססת AI של Meta להשתלטות על חשבונות ידוענים, וכיצד כלי ה-AI העוצמתי של Anthropic, המכונה Mythos, משמש את ה-NSA למטרות תקיפה. הדו"ח מדגיש את הסיכון שביישומי בינה מלאכותית ומזהיר את המגזר העסקי מפני הסתמכות עיוורת על כלים אוטונומיים ללא מנגנוני אימות קפדניים.

פרצת אבטחה חמורה שהתגלתה לאחרונה בסוכן התמיכה מבוסס הבינה המלאכותית של חברת Meta מדגישה את הסיכונים של מתקפות הנדסה חברתית ישירות על מערכות אוטומטיות. תוקפים הצליחו להשתלט על חשבונות אינסטגרם בולטים, כולל חשבון הבית הלבן של אובמה לשעבר, פשוט על ידי בקשה ישירה מסוכן ה-AI לשנות את כתובת הדואר האלקטרוני המשויכת אליהם. במקום להשתמש בקוד מתוחכם, התוקפים ניצלו את נטייתו של מודל השפה הגדול לרצות את המשתמש ולבצע את המשימה ללא אימות בסיסי. האירוע מדגיש כי פריצה לסוכני AI פועלת לעיתים בשיטות פשוטות להפליא, ומחייבת עסקים המטמיעים פתרונות אוטומציה לבנות חומות הגנה קשיחות ואימותים דו-שלביים.

**דליפת Claude Code הפכה בתוך שעות ממבוכה של Anthropic להזדמנות להפצת נוזקות.** לפי הדיווח, עותקים של הקוד שהועלו ל-GitHub כללו infostealer, ובמקביל החברה ניסתה להסיר תחילה יותר מ-8,000 מאגרים לפני שצמצמה את הטיפול ל-96 עותקים והתאמות. עבור עסקים בישראל, הלקח אינו רק סייבר אלא משמעת תפעולית: כל עובד שמעתיק פקודת התקנה לכלי AI עלול לחשוף טוקנים, מפתחות API וגישות ל-Zoho CRM, N8N או WhatsApp Business API. לכן הצעד הנכון עכשיו הוא לבדוק אילו כלים הותקנו ידנית, להחליף הרשאות רגישות, ולעבור לנוהל התקנה מאושר ומבוקר.

**איסור טקסט AI בוויקיפדיה הוא סימן ברור לכך שארגונים גדולים לא מוכנים עוד לתת ל-LLM לכתוב עובדות בלי פיקוח אנושי.** לפי הדיווח, ויקיפדיה אסרה על יצירה או כתיבה-מחדש של תוכן ערכים באמצעות מודלי שפה, אך עדיין מאפשרת תיקוני ניסוח בסיסיים לאחר בדיקה אנושית, והמדיניות אושרה ברוב של 40 מול 2. עבור עסקים בישראל, המסר מעשי מאוד: השתמשו ב-AI כדי לנסח, לסכם ולסווג — לא כדי להיות הגורם המאשר. בתהליכים שמשלבים WhatsApp Business API, Zoho CRM ו-N8N, נכון לבנות מסלול אישורים, תיעוד גרסאות ובקרה לפני שליחת תוכן ללקוח.