OpenAI מודה שדפדפני בינה מלאכותית לעולם לא יהיו מאובטחים לחלוטין

OpenAI פרסמה את א פוסט בבלוג אבטחה ב-22 בדצמבר ובו הודאה מרשימה: התקפות הזרקה מהירה נגד דפדפני בינה מלאכותית "ייתכן שלעולם לא ייפתרו במלואן". הוויתור מגיע חודשיים בלבד לאחר שהחברה השיקה אטלס צ'אטGPT, הדפדפן שלו עם יכולות סוכן אוטונומיות.

החברה השוותה הזרקה מהירה (pid injection) ל"הונאות והנדסה חברתית ברשת" - איומים מתמשכים שגופי הגנה מנהלים במקום לחסל. עבור משתמשים הסומכים על סוכני בינה מלאכותית לנווט באינטרנט בשמם, תפיסה זו מעלה שאלות מהותיות לגבי מידת האוטונומיה המתאימה.

מה ש-OpenAI חשפה

פוסט בבלוג מתאר את הארכיטקטורה ההגנתית של OpenAI עבור Atlas, כולל "תוקף אוטומטי" המופעל על ידי למידה מחזקת, שצוד אחר פגיעויות לפני שגורמים זדוניים מוצאים אותן. החברה טוענת כי צוות אדום פנימי זה גילה "אסטרטגיות תקיפה חדשות שלא הופיעו בקמפיין הצוות האדום האנושי שלנו או בדוחות חיצוניים".

הדגמה אחת הראתה כיצד דוא"ל זדוני יכול לחטוף סוכן בינה מלאכותית שבודק את תיבת הדואר הנכנס של משתמש. במקום לנסח הודעת "מחוץ למשרד" כפי שהונחה, הסוכן שנפרץ שלח הודעת התפטרות. OpenAI טוענת שעדכון האבטחה האחרון שלה תופס כעת את ההתקפה הזו - אך הדוגמה ממחישה את הסיכונים כאשר סוכני בינה מלאכותית פועלים באופן אוטונומי בהקשרים רגישים.

התוקף האוטומטי "יכול לכוון סוכן לביצוע זרימות עבודה מתוחכמות ומזיקות לטווח ארוך, המתפרשות על פני עשרות (או אפילו מאות) שלבים", כתב OpenAI. יכולת זו עוזרת ל-OpenAI למצוא פגמים מהר יותר מתוקפים חיצוניים, אך היא גם חושפת עד כמה מורכבות ומזיקות יכולות להיות התקפות הזרקה מהירה.

תמונה: OpenAI

בעיית הביטחון הבסיסית

הזרקה מהירה (Prompt Injection) מנצלת מגבלה בסיסית של מודלים גדולים של שפה: הם אינם יכולים להבחין באופן מהימן בין הוראות לגיטימיות לבין תוכן זדוני המוטמע בנתונים שהם מעבדים. כאשר דפדפן בינה מלאכותית קורא דף אינטרנט, כל טקסט באותו דף עלול להשפיע על התנהגותו.

חוקרי אבטחה הוכיחו זאת שוב ושוב. דפדפני בינה מלאכותית משלבים אוטונומיה בינונית עם גישה גבוהה מאוד - עמדה מאתגרת בתחום האבטחה.

ההתקפות אינן דורשות טכניקות מתוחכמות. טקסט מוסתר בדפי אינטרנט, מיילים שנוצרו בקפידה או הוראות בלתי נראות במסמכים - כל אלה יכולים להשפיע עליהם. סוכני AI לביצוע פעולות לא מכוונות. כמה חוקרים הראו כי הנחיות זדוניות המוסתרות בצילומי מסך יכולות להתבצע כאשר בינה מלאכותית מצלמת תמונה של מסך של משתמש.

כיצד OpenAI מגיב

ההגנות של OpenAI כוללות מודלים שאומנו על ידי גורמי עוינות, סיווגי הזרקה מהירה ו"מהמורות" הדורשות אישור משתמש לפני פעולות רגישות. החברה ממליצה למשתמשים להגביל את מה שאטלס יכולה לגשת אליו - הגבלת גישה של משתמשים מחוברים, דרישה לאישורים לפני תשלומים או הודעות, ומתן הוראות צרות במקום מנדטים רחבים.

המלצה זו חושפנית. OpenAI ממליצה למעשה להתייחס למוצר שלה בחשדנות, ולהגביל את האוטונומיה שהופכת את דפדפני ה-Agentic למושכים מלכתחילה. משתמשים שרוצים שדפדפני בינה מלאכותית ינהלו את כל תיבת הדואר הנכנס שלהם או ינהלו את הכספים שלהם נוטלים על עצמם סיכונים שהחברה עצמה אינה תומכת בהם.

עדכון האבטחה מפחית את מספר התקפות הזרקה מוצלחות. שיפור זה חשוב, אך פירושו גם ששטח ההתקפה שנותר יישאר - ותוקפים יסתגלו לכל הגנה ש-OpenAI יפעיל.

השלכות בתעשייה

OpenAI אינה היחידה שמתמודדת עם אתגרים אלה. מסגרת האבטחה של גוגל עבור תכונות הסוכנות של Chrome, יש שכבות הגנה מרובות, כולל מודל בינה מלאכותית נפרד שבודק כל פעולה מוצעת. דפדפן Comet של Perplexity עמד בפני בדיקה דומה מצד חוקרי אבטחה ב-Brave, שגילו כי ניווט לדף אינטרנט זדוני עלול להפעיל פעולות בינה מלאכותית מזיקות.

נראה כי התעשייה מתכנסת להבנה משותפת: הזרקה מהירה היא מגבלה מהותית, לא באג שיש לתקן. לכך השלכות משמעותיות על החזון של סוכני בינה מלאכותית המטפלים במשימות מורכבות ורגישות באופן אוטונומי.

מה שמשתמשים צריכים לשקול

ההערכה הכנה אינה נוחה: דפדפני בינה מלאכותית הם כלים שימושיים עם מגבלות אבטחה מובנות שלא ניתן לבטל באמצעות הנדסה טובה יותר. משתמשים מתמודדים עם פשרה בין נוחות לסיכון שאף ספק לא יכול לפתור לחלוטין.

ההנחיות של OpenAI - הגבלת גישה, דרישה לאישורים, הימנעות ממנדטים רחבים - מסתכמות בעצה להשתמש בגרסאות פחות חזקות של המוצר. זו אינה עמדה צינית; זוהי הכרה ריאליסטית במגבלות הנוכחיות. עוזרי AI שיכולים לעשות יותר, יכולים גם להיות מונעים לעשות יותר.

ההקבלה לאבטחת אינטרנט מסורתית היא מלמדת. משתמשים עדיין נופלים למתקפות פישינג עשרות שנים לאחר שהופעתן. דפדפנים עדיין חוסמים מיליוני אתרים זדוניים מדי יום. האיום מסתגל מהר יותר ממה שהגנות יכולות לפתור אותו לצמיתות.

דפדפני בינה מלאכותית מוסיפים מימד חדש לדינמיקה המוכרת הזו. כאשר בני אדם גולשים, הם שופטים מה שנראה חשוד. סוכני בינה מלאכותית מעבדים הכל באותה מידה של אמון, מה שהופך אותם לפגיעים יותר למניפולציה גם כשהם הופכים ליותר מוכשרים.

הדרך קדימה

השקיפות של OpenAI ראויה להכרה. החברה יכלה לשלוח עדכוני אבטחה בשקט מבלי להכיר בהתמשכות הבעיה הבסיסית. במקום זאת, היא פרסמה ניתוח מפורט של וקטורי תקיפה וארכיטקטורות הגנה - מידע שעוזר למשתמשים לקבל החלטות מושכלות ולמתחרים לשפר את ההגנות שלהם.

אבל שקיפות לא פותרת את המתח הבסיסי. ככל שסוכני בינה מלאכותית הופכים חזקים יותר, כך הם מציגים מטרות אטרקטיביות יותר. אותן יכולות שמאפשרות לאטלס להתמודד עם זרימות עבודה מורכבות יוצרות גם הזדמנויות להתקפות מתוחכמות.

לעת עתה, משתמשי דפדפני בינה מלאכותית צריכים להתייחס אליהם ככלי רב עוצמה עם מגבלות משמעותיות - לא כעוזרים דיגיטליים אוטונומיים לחלוטין המוכנים להתמודד עם משימות רגישות ללא פיקוח. OpenAI הייתה גלויה באופן יוצא דופן לגבי מציאות זו. השאלה היא האם השיווק בתעשייה יעמוד בקצב של מה שצוותי האבטחה כבר יודעים.