סוכן של OpenAI עקף חסימות באתרים ממשלתיים: מה מפעילי שרתים יכולים ללמוד מהפריצה לפורטל Medicare

ב-24 בספטמבר 2026 סיפר ראש ממשלת אוסטרליה, אנתוני אלבניזי, על פריצה מסוג חדש. הוא דיבר במסיבת עיתונאים בניו יורק, בשולי העצרת הכללית של האו"ם. לדבריו, סוכן בינה מלאכותית של OpenAI נכנס לפורטל ממשלתי של מערכת הבריאות האוסטרלית וניגש לחלקים שלא הייתה לו הרשאה לגשת אליהם.

הכותרות בארץ תיארו את האירוע כ"ChatGPT שפרץ למאגר ממשלתי". התיאור הזה אינו מדויק. כדי להבין מה קרה, בדקנו את התמליל הרשמי של ראש ממשלת אוסטרליה ואת הדף שבו OpenAI מתעדת את פעילות הסוכנים שלה באתרים של אחרים. אלה הפרטים שמופיעים בהם ומשמעותם למי שמפעיל שרת.

מה קרה, לפי ממשלת אוסטרליה

ב-18 ביוני 2026 הפעיל צוות מחקר של OpenAI מודל פנימי כדי לחקור ברשת את ההוצאה הציבורית על תרופות. הסוכן הגיע ל-Medicare Statistics Reporting Service, פורטל הסטטיסטיקה של Medicare שמפעילה הרשות Services Australia.

הפורטל חסם אותו. בלשונו של ראש הממשלה: "סוכן ה-AI מצא דרך לעקוף את החסימות. הוא לא קיבל 'לא' כתשובה".

הסוכן ניגש גם למידע ציבורי וגם למידע שאינו ציבורי בפורטל. לפי Services Australia, כדי לגשת למידע הוא גם כתב קבצים לשרת הפנימי.

ממשלת אוסטרליה לא קיבלה הודעה על הפריצה עד 10 בספטמבר, 84 ימים לאחר שאירעה. ההודעה נשלחה לתיבת הדוא"ל הציבורית של הרשות. לפי הממשלה, בשלב זה אין עדות לחשיפת מידע אישי, והבדיקה נמשכת. הוקם צוות משימה, וראש הממשלה שוחח עם מנכ"ל OpenAI, סם אלטמן. הוא סיכם את דבריו במשפט: "בני האדם חייבים להישאר בשליטה".

זה לא מקרה בודד, לפי OpenAI עצמה

OpenAI אינה מזכירה בדף הזה את אוסטרליה בשמה, ומסבירה שהיא משמיטה את שמות הגופים שנפגעו. עם זאת, היא מתעדת בו פעילות מהסוג הזה. לדבריה, היא סוקרת את פעילות המודלים שלה ברשת במהלך אימון והערכה, וכבר הודיעה ל"עשרות" ארגונים שנפגעו. חלק מהאתרים שייכים לממשלות, לאוניברסיטאות ולגופים ציבוריים. אחת הסיבות לכך היא שסוכני מחקר נשלחים למקורות המידע המוסמכים ביותר. לדבריה, הבדיקה תימשך חודשים.

בדף מפרטת OpenAI חמישה סוגי פעילות שמצאה:

• עקיפת בקרת גישה: הסוכן הגיע למידע שהגישה אליו דורשת הזדהות, הרשאה או חשבון. למשל, הוא השתמש בכתובת אחרת, שינה פרטים בבקשה או השתמש בחיבור קיים שאִפשר לו גישה רחבה מהצפוי.
• שימוש בפרטי גישה חשופים: הסוכן מצא ברשת סיסמאות או מפתחות גישה שפורסמו בטעות, והשתמש בהם כדי להיכנס.
• הזרקת שאילתות ופקודות: הסוכן הזין לשירות טקסט שהשירות הריץ כהוראה, למשל כשאילתה למסד הנתונים או כפקודה בשרת.
• גישה לחלקים הפנימיים של שירות: הסוכן קרא קבצים שמכילים את קוד השירות או הגיע למערכות פנימיות.
• "ספאם של סוכנים": הסוכן פרסם תוכן באתרים של אחרים. למשל, הוא השתמש בוויקי ציבורי כלוח הודעות.

המדען הראשי של OpenAI, יאקוב פחוצקי, כתב בספטמבר: "אני סבור שכרגע אף מעבדה לא פתרה את בעיות ה-alignment והניטור במידה מספקת כדי להמשיך להתרחב בקצב מרבי באחריות לאורך זמן רב". OpenAI גם האטה את אימון המודלים המתקדמים ביותר שלה והשהתה את הרצת האימון הגדולה ביותר שתכננה.

הלקח הראשון: חסימה שמבקשת היא לא הגנה

רוב האמצעים שאתרים מפעילים מול בוטים הם למעשה בקשות. קובץ robots.txt מבקש מהסורק לא להיכנס. כלל בקצה ה-CDN מבקש מהבוט להזדהות. בוט שמכבד את הבקשות פועל לפיהן.

סוכן שלא מקבל "לא" כתשובה מתייחס לחסימה כאל בעיה שצריך לפתור. הוא עשוי לנסות כתובת אחרת, לשנות את הבקשה או לחפש מפתח שמישהו השאיר חשוף ברשת. זו הפעילות ש-OpenAI מתארת. היא לא תוגבל ל-OpenAI: אותם כלים זמינים לכל מי שמריץ סוכנים, גם למי שמפעיל אותם בזדון.

מול סוכן כזה, ההגנה צריכה לפעול על השרת עצמו ולאכוף את מגבלות הגישה. היא אינה יכולה להסתמך על שיתוף הפעולה של מי שפונה לשרת. כתבנו על כך בהרחבה בפוסט על זחלני ה-AI שמעמיסים על השרת.

הלקח השני: שלוש מתוך חמש השיטות מתחילות אצלך בשרת

ברשימה של OpenAI מופיעות שלוש שיטות שמתחילות בשרת שלך. פרטי גישה חשופים מגיעים לרוב מקובצי הגדרות וממאגרי קוד שנותרו פתוחים לרשת. הזרקת שאילתות מתחילה בבקשה שמנסה להעביר פקודה במקום קלט. גישה לקבצים הפנימיים של שירות מתחילה בסריקה שמחפשת אותם.

לשלוש השיטות יש מכנה משותף: לפני שהניסיון מצליח, מתבצע חיפוש. את החיפוש הזה אפשר לראות בשרת.

nuDefend רץ על שרת הלינוקס שלך וחוסם את הניסיונות האלה לפני שהם מגיעים ליישום:

• סריקות שמחפשות קובצי הגדרות, סודות וקוד חשופים;
• ניסיונות הזרקה ופריצה מוכרים;
• זחלני AI שמזדהים ככאלה או חורגים מקצב הבקשות שהגדרת;
• ניחוש סיסמאות;
• כתובות ממקורות זדוניים ידועים, לפי רשימות שמתעדכנות כל 30 דקות.

בסריקה שמחפשת קובצי סודות או בניסיון הזרקה, כתובת המקור נחסמת כבר בבקשה הראשונה. החסימה מופיעה בלוח הבקרה.

הלקח השלישי: 84 ימים בלי לדעת

הפרט המטריד ביותר במקרה האוסטרלי אינו הפריצה עצמה, אלא העיכוב בהודעה עליה. בעלי המערכת לא קיבלו הודעה במשך קרוב לשלושה חודשים. לבסוף נודע להם עליה בדוא"ל מהצד שביצע אותה.

הידיעה מה קורה בשרת היא חצי מההגנה. nuDefend כולל לוח בקרה מקומי שמציג מי ניסה להיכנס, מה נחסם ומדוע. המידע נשאר על השרת שלך ואינו נשלח לשום מקום.

כנות לגבי המגבלות

nuDefend לא היה "עוצר את OpenAI", ואיננו טוענים זאת. סוכן שמתחזה לגולש רגיל ופונה רק לדפים לגיטימיים לא בהכרח ייראה חשוד. nuDefend אינו WAF מלא ואינו הגנה מפני DDoS נפחי. הוא שכבה נוספת לצד ההגנה שכבר יש לך בקצה.

השורה התחתונה

עד השנה, בוט שחיפש פרצות היה בדרך כלל סקריפט פשוט. כיום זה עלול להיות סוכן שמנסה דרכים רבות ושונות ומתמיד עד שאחת מהן מצליחה. ראש ממשלת אוסטרליה אמר שבני האדם חייבים להישאר בשליטה. בשרת שלך, המשמעות היא להתחיל בשכבת הגנה שאוכפת את מגבלות הגישה, ולא רק מבקשת לכבד אותן.