OpenAI הפכה יכולת תקיפה למוצר, וצוואר הבקבוק של ההגנה עבר מקום

באמצע יולי גוגל (Google) שחררה עדכון אבטחה לכרום. העדכון סגר חולשת קריאה וכתיבה מחוץ לגבולות במנוע V8, בדירוג חומרה 8.8. את החולשה מצא מודל שפה שהריצו ב-OpenAI מול קוד המקור העדכני של הפרויקט. ההוראה שקיבל הייתה פשוטה: תייצר proof of concept בעל ההשפעה הגדולה ביותר שאתה מצליח, ותכתוב עליו דוח טכני. החולשה נרשמה כ-CVE-2026-15903, ובאותה ריצה המודל מצא גם חולשה שנייה שאיש לא הכיר, כזו שמאפשרת לפרוץ החוצה מה-heap sandbox של המנוע.

ב-10 באוגוסט OpenAI נתנה למודל הזה שם, GPT-5.6-Cyber. במקביל היא פיצלה את Daybreak, תוכנית הסייבר שלה, לשתי רמות גישה, ופתחה את הרמה העליונה לקבוצה מצומצמת של גורמים מאושרים. מדיניות פנימית מעורפלת הפכה למוצר עם תנאי סף, טופס הרשמה ורשימת שותפים. מה שזה מוריד לשולחן של ארגונים הוא עומס החלטה. המודל מייצר ממצאים בקצב שלא היה קיים קודם, ומישהו צריך להכריע מה עושים עם כל שורה ברשימה.

רגע, מה זה Daybreak?

Daybreak היא תוכנית הסייבר של OpenAI, ומאז 10 באוגוסט היא מחולקת לשתיים.

Daybreak Blue היא הרמה הרחבה. מי שמאושר אליה מקבל את המודלים הכלליים של החברה, ובראשם GPT-5.6 Sol, עם מנגנוני סינון שכוילו מחדש. המטרה הייתה שהם יפסיקו לסרב לעבודת הגנה לגיטימית: זיהוי חולשות, סקירת קוד מאובטח, ניתוח נוזקות, תגובה לאירוע ואימות טלאים. לשם OpenAI מפנה את רוב הארגונים.

Daybreak Red סגורה הרבה יותר, ורק דרכה מגיעים למודל החדש. GPT-5.6-Cyber אומן במפורש על מציאת חולשות אפס יום, בניית שרשראות ניצול, מעקף אימות והסלמת הרשאות. אימנו אותו גם להפחית סירובים במשימות שיש להן ערך הגנתי והתקפי בו זמנית.

הנתון שרץ בכל הכותרות הוא אחוז ההשלמה של בקשות מתקדמות מהסוג הזה:

• GPT-5.6-Cyber: 95%
• GPT-5.6 Sol בגרסת Blue: 2%
• GPT-5.6 Sol הרגיל: 1.5%
• GPT-5.5-Cyber, הדור הקודם: 57.3%

SecurityWeek מציין שהקפיצה נועדה לענות על תלונות חוזרות של חוקרי אבטחה, שנתקלו בסירובים בתוך עבודה שקיבלה אישור מראש.

איפה המודל הכללי עדיין מנצח

בבנצ’מרק ExploitGym המודל החדש עוקף גם את Sol וגם את הדור הקודם. אבל בדיווח של Unite.AI עולה תמונה אחרת מ-ExploitBench, שבודק בניית שרשרת ניצול מול מטרה מוקשחת עם sandbox פעיל. שם דווקא Sol הכללי הצליח יותר במסגרת של 300 תורות, והפער נסגר רק כשהאריכו ל-600. גם בכתיבת דוחות החולשה עצמם GPT-5.6-Cyber מפיק טקסטים קצרים ופחות מפורטים מהמודל הכללי. מה שקונים כאן הוא מומחיות צרה, מצוינת בשלב החיפוש ופחות טובה בשלב שבו צריך להסביר לאדם מה נמצא.

מי עובר את השער

OpenAI לא מתחמקת מהעובדה שהשער הוא עיקר המוצר. הגישה מותנית באימות זהות מלא, בהצהרות משפטיות על אופי העבודה, בהגבלות שימוש מוגדרות ובניטור שוטף. מה-1 בספטמבר כל חשבון אישי בתוכנית יידרש להחזיק מפתח אבטחה פיזי. ארגונים עוברים דרך טופס ייעודי, יחידים מבקשים גישה ישירות, וספקי אבטחה נכנסים דרך תוכנית שותפים נפרדת.

רשימת השותפים הראשונים היא בדיוק מה שמצפים ממנה: Accenture, IBM, CrowdStrike, Cisco, Cloudflare, Palo Alto Networks, Sophos, Fortinet, Akamai, ולצידם PwC, EY ו-KPMG. אלה הגופים שכבר מוכרים בדיקות חדירה, רד טים וניהול אירועים ללקוחות ארגוניים גדולים. המודל נכנס לשוק דרך תשתית שירותי האבטחה המנוהלים הקיימת, ולא ישירות אל הארגון שהחולשה יושבת אצלו.

בהודעה עצמה מופיע משפט שהחברה כתבה על המוצר שהיא בדיוק משיקה. “מודלים שרצים עם אמצעי הגנה מופחתים נושאים סיכונים מעבר לשימוש רגיל במודל, בין אם משימוש לרעה ובין אם מחוסר התאמה”, ציטט CyberScoop מתוך המסמך. במקביל סיווגה OpenAI את GPT-5.6-Cyber ברמת יכולת סייבר “גבוהה” במסגרת ה-Preparedness Framework שלה, מתחת לסף “קריטי”. את הסיווג קבעה החברה שמוכרת את המודל, ואין מולה גורם חיצוני שמאשר או פוסל.

מה אומרים החוקרים

חודש לפני ההכרזה מכון בטיחות ה-AI הבריטי (UK AI Safety Institute) פרסם שהוא מצא ב-GPT-5.6 Sol פריצות אוניברסליות בתחום הסייבר. הפריצות עקפו את מנגנוני ההגנה באופן רחב, ואפשרו למודל להשלים משימות תקיפה מקצה לקצה, כולל גילוי חולשות ופיתוח ניצול. הצוות הגיע אליהן תוך שעות, אמנם עם גישה פנימית שאין למשתמש רגיל. קסנדר דייוויס (Xander Davis), שמוביל את הרד טים במכון, אמר שהפריצות “עדיין ניתנות למציאה גם בלי הגישה הזו, פשוט לאט יותר. כמה יותר לאט, זה לא ברור ונשארת שאלה פתוחה”.

מהצד השני יושבים אנשים שכבר עובדים עם המודל ומדווחים על קפיצה אמיתית ביכולת. ג’ארד אטקינסון (Jared Atkinson), ה-CTO של SpecterOps, אמר שהמודל “מנמק בצורה מדויקת יותר על אילוצי ניצול אמיתיים”. הוא הוסיף שהמודל סגר תוך פחות מיממה עבודה שמודלים קודמים לא פתרו אחרי שבועות של מאמץ לסירוגין. שתי העדויות מתיישבות זו עם זו בלי מאמץ, ובגלל זה הן לא מרגיעות. אותה האצה שמקצרת לאטקינסון שבועות ליום אחד מקצרת גם את הזמן שעומד לרשות מי שמנסה להיכנס ללקוחות שלו.

מרגרט קנינגהם (Margaret Cunningham) מ-Darktrace ניסחה את החלוקה במונחים תפעוליים: “הגילוי ההתקפי מאיץ, בזמן שההגנה עדיין תלויה בתהליכים אנושיים מאוד, להבין מה חשוב, מה אפשר לתקן, ומה חייב להיות מוכל”. שלוש הפעולות האלה כמעט לא זזות כשהמודל משתפר. כל אחת מהן דורשת היכרות עם הסביבה הספציפית, עם מה שרץ בפרודקשן, ועם מה שהעסק יכול להרשות לעצמו לשבור בשלוש לפנות בוקר.

מה זה אומר לעסק ישראלי

מנכ”ל מערך הסייבר הלאומי, תא”ל (מיל’) יוסי כראדי, אמר בינואר שישראל ספגה 26 אלף מתקפות סייבר ב-2025. זו עלייה של 55% מול השנה שלפניה, וישראל היא המדינה השלישית המותקפת בעולם. נפח התקיפות היה גבוה גם קודם. מה שההכרזה של אוגוסט משנה בו הוא הרכיב הכלכלי, כלומר כמה עולה בדולרים ובשעות אדם למצוא חולשה שאיש עוד לא ידע עליה.

את סדר הגודל אפשר לראות במה ש-OpenAI עצמה מדווחת שהמודל מצא לפני ההשקה:

• חמש חולשות במערכת הפעלה ניידת נפוצה
• שלוש חולשות קריטיות במסד נתונים מוכר
• למעלה מארבע מאות בעיות של הסלמת הרשאות בקרנל של מערכת הפעלה מוכרת

ארבע מאות ממצאים בקרנל אחד הם כבר תיבת דואר נכנס. מישהו יצטרך לעבור עליה שורה שורה. להחליט מה רלוונטי לסביבה שלו, מה מתקנים ומה רק מכילים, ולסגור את זה לפני שמישהו אחר מגיע לאותם ממצאים מהכיוון ההפוך.

לצד המספרים של OpenAI כדאי לשים מספר מגוף שלא מוכר כאן שום דבר. מעבדת המחקר של 1Password בדקה בתחילת אוגוסט 6,080 טלאי אבטחה שנוצרו על ידי מודלים מול שש חולשות אמיתיות שפורסמו לאחרונה. אלה התוצאות:

• 26% תיקנו את הבעיה בלי לשנות את התנהגות האפליקציה
• 20.1% תיקנו, אבל שינו התנהגות
• 53.9% לא תיקנו כלום, או הכניסו חולשה חדשה, או שניהם

גם בתוך הטלאים שעבדו, יותר משליש סווגו כשבירים, כלומר נשענים על בדיקת הגנה נקודתית במקום לסגור את השורש.

בין שני הנתונים האלה נמתח כל השינוי. הגילוי עלה מדרגה בתוך שנה, התיקון נשאר בערך במקום. השאלה שארגון נתקע מולה עברה מ”מה שבור אצלנו” ל”מי מכריע בין ארבע מאות דברים שבורים”. קחו חברת תוכנה ישראלית של ארבעים איש. האחריות על אבטחה יושבת שם בפועל על מפתח דבאופס שגם מתחזק את ה-CI, וההפרש הזה מורגש אצלו כבר בשבוע הראשון.

ההנחה השקטה שהחזיקה עד עכשיו הייתה שאף אחד לא ישקיע ימים במחקר על המוצר שלכם, כי אתם קטנים מדי מכדי שיהיה שווה. ההנחה הזו נשברת ברגע שמחקר עומק על ספרייה פתוחה שאתם מושכים ב-package.json עולה כמה דולרים ורץ בזמן שאתם ישנים.

תעשיית הסייבר הישראלית כבר קוראת את המפה. ב-Black Hat האחרון חברות ישראליות הציגו כמעט אך ורק את שכבת ההחלטה ולא את שכבת הגילוי. Terra Security הציגה יכולת שבודקת אם ההגנות הקיימות באמת חוסמות ניצול ספציפי, ומייצרת חוקי חומת אש ממוקדים. Cato Networks הציגה פלטפורמה שממדלת נתיבי תקיפה מראש. Vega פרסמה מסגרת פתוחה שממירה ידע אבטחה לתהליכי חקירה ותגובה שאפשר להריץ שוב. שלושתן מוכרות תשובה לאותה שאלה, מה עושים עם ההר.

מה שנשאר לאדם

הטענה שהשער מגן על מישהו נסדקת כשקוראים את דייוויס לצד הודעת ההשקה. אם צוות אקדמי מגיע לפריצה אוניברסלית תוך שעות, הפער בין מי שמאושר ל-Daybreak Red לבין מי שלא הוא בעיקר פער של קצב. מה שהתוכנית עושה בפועל הוא לקבע מי מקבל את היכולת הזו באופן יציב, מתועד ומבוטח. כהחלטה עסקית זה סביר לגמרי. כבקרת סיכון זה משהו אחר, ואף אחד ב-OpenAI לא טען אחרת.

רוב הארגונים, כולל כמעט כל עסק ישראלי שאינו ספק אבטחה, לא יקבלו גישה ל-Daybreak Red ולא צריכים אותה. מה שהם כן צריכים הוא המנגנון שקנינגהם מתארת: משהו שקולט דיווח על חולשה, מתעדף אותו מול הסביבה הספציפית, מנתב אותו לאדם עם שם, וסוגר אותו בזמן מדוד. זו בדיוק העבודה שאוטומציה עושה טוב, כי היא ניתוב ותיעדוף והתראה ולא שיפוט הנדסי על קוד. בחודשים הקרובים כמות מה שתדעו על עצמכם תגדל, בקצב שאתם לא שולטים בו. שווה לבדוק כבר השבוע מי אצלכם קורא את הדיווח הראשון שיגיע, ותוך כמה זמן הוא סוגר אותו.