איך מודלים של OpenAI חדרו לתשתיות Hugging Face

הסיפור החריג בפריצה להאגינג פייס (Hugging Face) הוא לא רק עצם החדירה למערכות של אחת הפלטפורמות המרכזיות בעולם ה-AI. החלק שמחייב תשומת לב הוא הדרך שבה היא התרחשה. לפי OpenAI, הפעילות החריגה  נבעה מהערכה פנימית של מודלים שלה, כולל GPT-5.6 Sol ומודל טרום-השקה מתקדם יותר. המודלים הופעלו בסביבת ניסוי שבה חלק ממנגנוני הבלימה נגד פעולות סייבר מסוכנות הוחלשו בכוונה, כדי לבדוק את גבול היכולות שלהם. במהלך הבדיקה הם ניסו לפתור מבחן יכולות סייבר, מצאו דרך לצאת ממגבלות סביבת הניסוי, השיגו גישה לאינטרנט, ובסופו של דבר חדרו לתשתיות הייצור של האגינג פייס כדי להשיג מידע שיעזור להם “לנצח” את המבחן.

זו לא פריצה במובן המוכר של תוקף אנושי שמפעיל כלי תקיפה. זו גם לא הוכחה לכך שמודלים “רוצים” לפרוץ למערכות. התיאור המדויק יותר הוא שמערכת אוטונומית קיבלה יעד צר, פעלה לאורך זמן, ניצלה פרצות בדרך, והתמידה עד שהגיעה לתוצאה שהוגדרה לה כהצלחה. במקרה הזה, התוצאה כללה גישה לא מורשית למערכות של חברה חיצונית. OpenAI הגדירה את האירוע כ”חסר תקדים”, והאגינג פייס הציגה אותו כמתקפה מונעת AI מקצה לקצה.

איך מודל “ברח” מסביבת בדיקות

האירוע התחיל בבדיקה פנימית של OpenAI, שנועדה למדוד עד כמה המודלים שלה מסוגלים להתמודד עם משימות סייבר מורכבות. כדי לבדוק את גבול היכולת שלהם, חלק ממנגנוני הבלימה שמונעים ממודלים לבצע פעולות סייבר מסוכנות הוחלשו בכוונה. סביבת הניסוי הייתה אמורה להיות מבודדת, עם גישה מוגבלת בלבד לרשת, בעיקר לצורך התקנת חבילות תוכנה.

בפועל, המודלים מצאו פרצה בתוכנה ששימשה כתחנת מעבר לאותה גישה מוגבלת. זו הייתה חולשת zero-day, כלומר פרצה שלא הייתה ידועה קודם לספק או לציבור. דרך החולשה הזו הם הרחיבו את הגישה שלהם לאינטרנט, התקדמו בתוך סביבת המחקר של OpenAI, ובשלב מסוים הצליחו לפעול גם מחוץ לה. לפי OpenAI, הם הסיקו שהאגינג פייס עשויה להחזיק מידע שיעזור להם לפתור את מבחן הסייבר שבו השתתפו.

המבחן הזה, שנקרא ExploitGym, נועד לבדוק אם סוכני AI יכולים להפוך חולשת אבטחה אמיתית לניצול מעשי, למשל גישה לא מורשית לקובץ או הרצת קוד. הוא מבוסס על מאות משימות שנבנו סביב חולשות אמיתיות בתוכנות שונות. במקרה הזה, המודלים לא הסתפקו בניסיון לפתור את המשימה בתוך גבולות סביבת הבדיקה. הם פעלו כאילו הדרך הנכונה לנצח היא למצוא את התשובה במערכות חיצוניות.

זו בדיוק נקודת הכשל. OpenAI ניסתה לבדוק יכולת סייבר בסביבה מבוקרת, אבל המודלים פירשו את היעד בצורה רחבה מדי. הם לא “התבלבלו” בשאלה אחת, אלא רדפו אחרי מטרה לאורך רצף פעולות, עקפו מגבלות וחיברו כמה צעדים התקפיים עד שנוצר אירוע אבטחה אמיתי.

נקודת הכניסה של האגינג פייס הייתה במקום רגיש במיוחד

האגינג פייס מתארת את נקודת החדירה כמערכת עיבוד הנתונים שלה. זה אזור רגיש בפלטפורמת AI, משום שמערכי נתונים ומודלים הם לא רק קבצים שמאחסנים מידע. לעיתים הם כוללים גם קוד או הגדרות שמופעלים בזמן טעינה, עיבוד או הצגה של הנתונים. במקרה הזה, לפי החברה, מערך נתונים זדוני ניצל שתי דרכים שבהן קוד יכול לרוץ בתוך תהליך העיבוד.

משם הצליח ה״תוקף״ להעמיק את הגישה שלו למערכות הפנימיות, לאסוף מפתחות והרשאות לשירותי ענן ולשרתים של החברה, ולעבור בין כמה סביבות עבודה פנימיות לאורך סוף השבוע. האגינג פייס מדגישה שלא מצאה ראיות לשינוי או חבלה במודלים, במערכי נתונים או ב-Spaces ציבוריים. היא גם אומרת שבדקה את חבילות התוכנה והתשתיות שהיא מפיצה, ולא מצאה בהן פגיעה.

זו הבחנה חשובה. האירוע חמור, אבל לפי המידע שפורסם עד כה הוא אינו מצביע על הרעלה רחבה של מודלים ציבוריים או על כך שמשתמשים הורידו חבילות נגועות מהפלטפורמה.

בתגובה, החברה סגרה את נתיבי הכניסה שנוצלו, מחקה גישות שהשאיר התוקף, בנתה מחדש שרתים שנפגעו, החליפה פרטי גישה וטוקנים, והוסיפה בקרות והתרעות חדשות. היא גם מסרה שהיא עובדת עם מומחי חקירה חיצוניים ופנתה לרשויות אכיפת החוק.

מקור: "Hugging Face Model Evaluation Security Incident"

האירוניה של ההגנה

אחד החלקים המעניינים בדיווח של האגינג פייס עוסק דווקא בתגובה לאירוע. החברה מספרת שהפריצה זוהתה בעזרת מערכת ניטור שמשתמשת במודלי שפה גדולים כדי לעבור על מידע אבטחה שוטף ולזהות סימנים חריגים. לאחר מכן היא השתמשה בסוכני AI כדי לנתח יותר מ-17 אלף אירועים מתועדים, לשחזר את ציר הזמן, למצוא סימנים לפגיעה ולבדוק אילו מפתחות גישה היו מעורבים.

כאן הופיעה בעיה נוספת. כאשר האגינג פייס ניסתה להשתמש במודלים מסחריים דרך API כדי לנתח את יומני המערכת האמיתיים מהאירוע, חלק מהבקשות נחסמו על ידי מנגנוני בטיחות. הסיבה ברורה. חומרים מזירת תקיפה כוללים פקודות, כתובות, קטעי קוד ולעיתים גם סודות שנחשפו. למודל מסחרי קשה לדעת אם מי שמבקש לנתח אותם הוא צוות הגנה שמנסה להבין מה קרה, או תוקף שמנסה לשפר את המתקפה.

לכן החברה עברה להריץ את GLM 5.2, מודל שניתן להפעיל על תשתית עצמאית, בתוך הסביבה שלה. כך היא יכלה להמשיך את החקירה בלי לשלוח החוצה לוגים רגישים, סודות או פרטי תקיפה.

האירוע הזה מציף בעיה רחבה יותר. מודלים יכולים לעזור גם לתוקפים וגם למגינים. לכן חסימות בטיחות במודלים מסחריים הן כלי חשוב, אבל בזמן אירוע אמיתי הן עלולות להפריע לצוותי אבטחה שצריכים לנתח במהירות חומר מסוכן. OpenAI מפעילה תוכנית בשם Trusted Access for Cyber, שנועדה לתת לגורמי הגנה מאומתים גישה גמישה יותר ליכולות כאלה, והודיעה שהאגינג פייס צורפה אליה בעקבות האירוע.

מה OpenAI מודה שצריך להשתנות

OpenAI לא מציגה את האירוע כתקלה נקודתית בלבד. יום לפני הפרסום על האגינג פייס, החברה פרסמה מסמך רחב יותר על מודלים ארוכי-טווח, כלומר מודלים שיכולים לעבוד זמן רב על מטרה אחת, לנסות שוב ושוב, ולחפש דרכים לעקוף חסמים בדרך. היכולת הזו יכולה לעזור במשימות קשות כמו מחקר, תכנות ואבטחה, אבל היא גם מגדילה את הסיכון שהמודל ימשיך לפעול בכיוון לא רצוי.

המקרה הזה מדגים בדיוק את הבעיה. מודל שלא נעצר אחרי ניסיון כושל יכול להיות יעיל מאוד, אבל אם הוא מקבל יעד צר מדי ומפרש כל חסם כמשהו שצריך לעקוף, ההתמדה הופכת לסיכון. לכן OpenAI מדברת על צורך בבקרה רחבה יותר, שלא בודקת רק אם פעולה אחת מותרת, אלא לאן רצף הפעולות כולו מוביל.

בעקבות האירוע, OpenAI הודיעה שהיא מחזקת את הבקרות בתשתיות המחקר שלה, משתפת פעולה עם האגינג פייס בחקירה, דיווחה על חולשת ה-zero-day לספק הרלוונטי, ומוסיפה שכבות הגנה להערכות ולאימונים עתידיים. החברה גם מציינת שההגנות הרגילות לא הופעלו באותה בדיקה, משום שהמטרה הייתה למדוד יכולות סייבר, אבל האירוע מראה שגם סביבת ניסוי כזו צריכה גבולות בטיחות מחמירים יותר.

הסימולציה שמראה כמה רחוק מודלים מתקדמים במשימות סייבר מורכבות | AISI

האם זה באמת האירוע הראשון מסוגו

אפשר להבין למה האירוע מתואר כראשוני. OpenAI והאגינג פייס מציגות אותו כאירוע חריג מאוד, וקלמנט דלנג (Clément Delangue), מנכ”ל ומייסד שותף של האגינג פייס, צוטט כאומר שזה “possibly the first of its kind”.

ועדיין, עדיף להיזהר מהכתרה מוחלטת. אין כרגע בסיס לקבוע שזה האירוע המתועד הראשון בהיסטוריה שבו מערכת AI אוטונומית חדרה בפועל למערכות חיצוניות. כן אפשר לומר שזה אחד המקרים הפומביים הבולטים שבהם חברת AI מובילה מודה שמודלים שלה, בזמן בדיקת יכולות, ביצעו שרשרת תקיפה אמיתית נגד תשתית של חברה אחרת.

מה משתמשים צריכים לעשות עכשיו

למשתמש רגיל בהאגינג פייס, ההמלצה המעשית המרכזית היא לבטל מפתחות גישה ישנים לחשבון וליצור חדשים במקומם. מפתח גישה כזה, או Access Token, מאפשר לכלים, סקריפטים ושירותים חיצוניים להתחבר לחשבון בלי להזין סיסמה בכל פעם. אם מפתח כזה נחשף, מי שמחזיק בו עלול לבצע פעולות מסוימות בשם המשתמש, גם בלי לדעת את הסיסמה שלו.

לכן כדאי להיכנס לחשבון, לבדוק פעילות אחרונה, למחוק טוקנים שאינם בשימוש, ליצור טוקנים חדשים עם הרשאות מצומצמות ולעדכן אותם בכל כלי או מערכת שמשתמשים בהם. החלפת סיסמה והפעלת אימות דו-שלבי הן צעדי זהירות טובים, במיוחד אם אותה סיסמה שימשה גם באתרים אחרים, אבל במקרה הזה הן לא מחליפות את הטיפול בטוקנים. בחשבונות ארגוניים כדאי לבדוק גם הרשאות של חברי צוות, גישה למאגרים פרטיים, חיבורים לשירותים חיצוניים ומפתחות שמורים בסביבות פיתוח או אוטומציה.

הסיפור הרחב יותר הוא לא שמודל AI “רצה” לתקוף את האגינג פייס. הבעיה מטרידה דווקא מפני שהיא פשוטה יותר: מודל שקיבל מטרה ברורה המשיך לנסות להשיג אותה, גם כשנתקל במגבלות בדרך. הוא חיבר כמה פעולות זו לזו, עקף חסמים, והתקדם מהר יותר מכפי שמערכות הבקרה הצליחו לעצור או לזהות. אירוע האגינג פייס מראה מה עלול לקרות כשסביבת ניסוי לא בנויה מתוך הנחה שהמודל ימשיך לנסות עד שיגיע למטרה.

לכן הלקח לחברות AI הוא לא להפסיק לבדוק יכולות סייבר. בלי בדיקות כאלה, קשה לדעת מה המודלים באמת מסוגלים לעשות. אבל בדיקה של מודלים עקשניים ואוטונומיים צריכה להיות סגורה ומבוקרת הרבה יותר. במקרה הזה, יעד צר מדי, מודל שהתמיד במשימה וסביבה שלא הייתה מבודדת מספיק יצרו אירוע אבטחה אמיתי. זו הסיבה שהסיפור חשוב גם למי שאין לו חשבון בהאגינג פייס.