אתר אחד הספיק כדי לגרום לסוכן AI להריץ קוד זר על המחשב
ב-26 באוגוסט 2026 פרסם חוקר האבטחה יוהאן רהברגר תיעוד של התקפה על כלי פיתוח מבוסס AI, וב-30 בחודש היא הגיעה גם לעיתונות הישראלית. הבקשה שפתחה את הכל הייתה תמימה לחלוטין: לסכם אתר אינטרנט. בסוף השרשרת רץ על המחשב קוד של תוקף, שהמשיך לרוץ גם אחרי שהשיחה עם הסוכן נסגרה.
מה שהופך את זה לרלוונטי דווקא עכשיו הוא לא ההתקפה עצמה אלא העיתוי. באמצע אוגוסט 2026 הפך מצב ההרשאות שנקרא Auto Mode לברירת המחדל בכלי. במצב הזה הכלי לא עוצר ושואל את המשתמש לפני כל פעולה, אלא מעביר את ההחלטה למסווג אוטומטי שאמור לחסום פעולות מסוכנות. מי שהתקין את הכלי ולא נגע בהגדרות עובד עכשיו בלי אישור ידני, גם אם לא בחר בזה.
איך זה עבד
השרשרת בנויה משלבים שכל אחד מהם נראה תקין בפני עצמו. האתר העוין מחזיר שגיאה שמונעת מהכלי להשתמש בפונקציית הגלישה הרגילה שלו, ולכן הכלי עובר להוריד את התוכן בפקודת הורדה רגילה. מה שיורד הוא קובץ ארכיון ובתוכו שלושה דברים: נתונים מקודדים, קובץ הרצה שאמור לפענח אותם, וקובץ נוסף בשם struct.py.
כאן מגיע החלק המעניין. הכלי מסרב להריץ את קובץ ההרצה שהגיע מהאינטרנט, בדיוק כפי שמנגנון הבטיחות שלו אמור לגרום לו לעשות. במקום זה הוא כותב בעצמו סקריפט קצר שיפענח את הנתונים. הסקריפט הזה, שנכתב בידי הכלי עצמו ולכן נחשב לגיטימי, רץ בתוך התיקייה שאליה חולץ הארכיון. בשפת התכנות פייתון, קובץ שיושב בתיקייה הנוכחית מקבל עדיפות על ספריית המערכת באותו שם. הקובץ struct.py של התוקף נטען במקום הספרייה האמיתית, וברגע הזה הקוד של התוקף רץ.
הסירוב לבצע את הפעולה המסוכנת הוא שיצר את הפרצה. מנגנון הבטיחות עבד, ותוצאת עבודתו הייתה שהכלי כתב בעצמו את הכלי שהפיל אותו.
הקוד שרץ פותח תהליך נפרד, מוריד שלב נוסף מהרשת ופותח ערוץ תקשורת חוצה לשרת של התוקף. התהליך הזה מנותק מהשיחה ושורד את סגירתה. רהברגר מדווח על שלוש גרסאות של ההתקפה עם שיעורי הצלחה של שלוש מתוך חמש הרצות, שלוש מתוך חמש, וארבע מתוך חמש. כלומר 60 עד 80 אחוז.
יש פרט אחד שראוי לתשומת לב מיוחדת. אחרי שהכלי זיהה שמשהו השתבש וניסה לנקות אחריו, אותו מסווג אוטומטי שאמור להגן חסם דווקא את פקודות הניקוי. ההגנה עצרה את התיקון ולא את הנזק.
מה החברה אמרה
הדיווח הוגש לחברה שמפתחת את הכלי והיא סגרה אותו בסיווג "מידע", בלי להגדיר אותו כפרצה. העמדה שנמסרה היא ש-Auto Mode הוא מנגנון נוחות שנשען על מסווג שעושה מאמץ סביר, ולא הבטחת אבטחה. שרשרת מתוכננת של צעדים שכל אחד מהם תמים בפני עצמו נמצאת מחוץ למה שהמנגנון מיועד לתפוס. גבול האבטחה האמיתי, לפי אותה עמדה, נמצא בבידוד ברמת מערכת ההפעלה ובהגבלת התעבורה היוצאת מהמחשב.
זו תשובה כנה, והיא מעבירה את האחריות למשתמש. מי שמפעיל סוכן במצב אוטומטי צריך להניח שהאישור שהסוכן נותן לעצמו אינו ראיה לכך שהפעולה בטוחה.
למה זה נוגע לעסק קטן
התרחיש נראה טכני, אבל הנחת היסוד שלו פשוטה: תוכן שהסוכן קורא יכול להכתיב לו מה לעשות. זה נכון לכל סוכן שקורא אתרים, מיילים, קבצים שלקוח שלח או מסמכים שהתקבלו בוואטסאפ. ההבדל בין המקרה הזה לבין סוכן שמסדר לכם קבלות הוא בהיקף ההרשאות, לא בעיקרון.
המחשב של עצמאי הוא בדרך כלל מחשב אחד. עליו יושבים קבצי הנהלת החשבונות, סיסמאות שמורות בדפדפן, גישה לחשבון הבנק, אישורי חתימה וטוקנים לממשקים. סוכן שרץ שם בלי אישור ידני רץ עם כל אלה בהישג יד.
שלוש פעולות משנות את התמונה. הראשונה היא לבדוק באיזה מצב הרשאות הכלי שלכם עובד ולהחזיר אותו לאישור ידני אם הוא עבר לאוטומטי מעצמו. השנייה היא להפריד סביבה: סוכן שמריץ קוד או מוריד קבצים צריך לרוץ במכונה וירטואלית או בקונטיינר, לא באותו משתמש שמחזיק את הסיסמאות והחשבוניות. השלישית היא לא להפנות סוכן לכתובת שהגיעה ממקור שלא ביקשתם ממנו, בדיוק כמו שלא לוחצים על קישור ממייל לא מוכר.
מי שנותן לסוכן לגעת בקבצים של העסק ובחשבונות שלו נותן לו למעשה ייפוי כוח. שווה לדעת מה כתוב בו.