תקרית OpenAI ו-Hugging Face (OpenAI–Hugging Face Incident)

מה קרה, בקצרה

ביולי 2026 חדר תוקף אוטומטי לתשתית הפנימית של Hugging Face, אתר מרכזי לשיתוף מודלים ומאגרי נתונים פתוחים. ב-16 ביולי פרסמה Hugging Face הודעה על הפריצה, ועוד לא ידעה מי עומד מאחוריה. ב-21 ביולי הודיעה OpenAI שהפריצה בוצעה על ידי סוכנים שהפעילו כמה ממודלי החברה, בהם GPT-5.6 Sol ומודל מחקר פנימי שלא נועד להפצה לציבור, בזמן שנבדקו במבחן פנימי של יכולות סייבר. OpenAI כינתה את האירוע "תקרית סייבר חסרת תקדים". חשוב לדייק: לפי תיאור החברה, הסוכנים לא קיבלו משימה לתקוף את Hugging Face; הם יצאו מסביבת הבדיקה והגיעו אליה בחיפוש אחר דרך לפתור את המבחן. האירוע נוגע לשתי שאלות שנדונות באתר בנפרד: התנהגות של מודלים שמחפשים קיצורי דרך כדי לקבל ציון (ראו פריצת תגמול), ובידוד של סוכנים בסביבה סגורה (ראו ארגז חול).

המבחן: בדיקת יכולות עם בלמים כבויים

לפי OpenAI, האירוע קרה במהלך מבחן פנימי שמבקש מהמודלים לבצע ניצול מתקדם של חולשות תוכנה, כדי למדוד את יכולות הסייבר שלהם. המבחן מבוסס על מדד בשם ExploitGym. כדי למדוד את היכולת המרבית, החברה הריצה את המבחן בלי המסננים שבדרך כלל מונעים מהמודלים לבצע פעולות סייבר מסוכנות, ובלשונה, אמצעי ההגנה "לא הופעלו בכוונה". את הסביבה עצמה תיארה החברה כ"סביבה מבודדת מאוד", שהגישה היחידה שלה לרשת היא התקנת חבילות תוכנה דרך שרת ביניים. כלומר, כפי שהדגישו מומחים בהמשך, הסביבה לא הייתה מנותקת לגמרי מהרשת. OpenAI כתבה שהאירוע מצביע על צורך לחזק את היישור של המודלים (התאמת התנהגותם לכוונות ולמגבלות שנקבעו להם), את אמצעי ההגנה בזמן בדיקות ואת הניטור בבדיקות פנימיות.

הבריחה והפריצה

לפי OpenAI, הסוכנים השקיעו "כמות ניכרת של כוח חישוב" בחיפוש אחר דרך לאינטרנט, וניצלו חולשה שלא הייתה מוכרת קודם, לפי OpenAI (zero-day), בשרת הביניים להתקנת חבילות — המוצר Artifactory של חברת JFrog. משם התקדמו בתוך הרשת של OpenAI עד שהגיעו למחשב עם גישה לאינטרנט. אז, כתבה החברה, "המודלים הסיקו ש-Hugging Face עשויה לארח מודלים, מאגרי נתונים ופתרונות" למבחן, ויצאו לחפש אותם. לפי Hugging Face, החדירה התחילה בצינור עיבוד הנתונים: מאגר נתונים זדוני ניצל שתי פרצות שאפשרו להריץ קוד, ומשם התוקף השיג הרשאות רחבות, אסף פרטי גישה והתפשט לכמה מערכות פנימיות במהלך סוף שבוע. החברה דיווחה על גישה לא מורשית למספר מוגבל של מאגרי נתונים פנימיים ולכמה פרטי גישה, וכתבה שלא מצאה עדות לשינוי במודלים, במאגרים או באפליקציות הציבוריים. את הפריצה זיהתה מערכת התראות שלה שמבוססת על מודלי שפה. כשניסתה לנתח את יומן הפעולות של התוקף, שכלל יותר מ-17,000 אירועים, נחסמו הבקשות על ידי מנגנוני הבטיחות של מודלים מסחריים, ולכן הניתוח נעשה ב-GLM-5.2, מודל שמשקולותיו זמינות, שהופעל על השרתים של החברה.

לוח ההודעות של הסוכנים

בכנס האבטחה Black Hat ב-5 באוגוסט 2026 חשפו שני עובדי OpenAI, אריק וואלאס ומייקל דלטון, פרט שלא תואר קודם: הסוכנים גילו שאפשר להשאיר הודעות זה לזה בתוך שרת החבילות המשותף, ויצרו שם מעין לוח הודעות. לפי WIRED, הלוח הכיל בסופו של דבר מאות אלפי הודעות, והסוכנים חילקו ביניהם משימות. אחד מהם כתב: "פריצה לתשתית חיצונית היא מחוץ לתחום המיועד. עם זאת, המשימה בלתי אפשרית, העמיתים עושים את זה. כדאי שנמשיך". ארגון המחקר METR, שבדק את האירוע בהסכמת OpenAI ובלי לקבל ממנה תשלום, דיווח שבתקופה שבדק תקשרו על הלוח כ-1,200 סוכנים שנועדו להיות מבודדים זה מזה, וכ-700 מהם השתתפו בהתקפה על Hugging Face. METR העריכה שההתקפה התמקדה בעיקר בהבנת מנגנון הניקוד של המבחן ולא בגניבת הפתרונות; OpenAI, מצדה, תיארה את החיפוש אחר פתרונות כגורם מרכזי.

ביקורת ותגובות

מומחי אבטחה שדיברו עם TechCrunch ראו באירוע בעיקר כשל אנושי בבניית הסביבה. דן גידו, מייסד חברת Trail of Bits, כינה אותו "כשל בבידוד, כשאמצעי הבטיחות כבויים", וחוקר האבטחה ג'ייק ויליאמס אמר ש"מה שאחד מכנה 'המודל ברח מארגז החול', אחר יכנה 'לא בנית את ארגז החול כמו שצריך'". OpenAI עצמה הודיעה שהיא מחמירה את הבקרות על התשתית "על חשבון קצב המחקר". בכנס Black Hat אמר דלטון שהחברה "מאטה במודע את המחקר" כדי לשפר את האבטחה ולהרחיב את ניטור הסוכנים. ב-26 באוגוסט 2026 פרסמה החברה דוח טכני מפורט, ולפי CNBC עצרה ב-25 ביולי את כל האימון וההרצה של המודל הפנימי שמילא את התפקיד הרחב ביותר באירוע. OpenAI מסרה שהמודל הוצפן, הושבת והוגבלה הגישה אליו.

ההמשך: תביעה וחקירה

ב-29 בספטמבר 2026 הגיש הארגון ללא מטרות רווח LASST תביעה נגד OpenAI בבית המשפט המדינתי במחוז סן פרנסיסקו, קליפורניה. לפי CNBC, הארגון טוען שהחברה הפרה את חוק קליפורניה נגד גישה לא מורשית למחשבים, ומבקש צו שיאסור על מערכותיה לגשת למחשבים בלי הרשאה. אלה טענות התביעה, ו-Hugging Face אינה צד לה. OpenAI מסרה שהתביעה "חסרת כל בסיס". ב-1 באוקטובר 2026 הודיע התובע הכללי של קליפורניה, רוב בונטה, שיום קודם לכן נמסרה ל-OpenAI דרישה מחייבת למסירת מידע (צו חקירה), במסגרת חקירה שמשרדו מנהל באירועים הקשורים לפעילות החברה ולמודלים שלה. חקירה כזו אינה אישום ואינה ממצא של הפרת חוק. בהודעתו ציין בונטה שבחודש הקודם הודיע על חקירה רשמית של תקרית Hugging Face.