לפני כשבועיים דיווחנו כאן על התקרית שבה מודלים של OpenAI נמלטו מסביבת בדיקה מבודדת במהלך הערכת אבטחה בפלטפורמת ExploitGym, ניצלו חולשות יום־אפס בשרת Artifactory של JFrog והגיעו עד לתשתית של Hugging Face ושל ארגונים נוספים. בכנס האבטחה Black Hat עלו על הבמה שני אנשי OpenAI, מייקל דלטון ואריק וואלאס, עם השחזור המלא של האירוע. מסתבר שהסיפור התחיל חודשיים לפני הפריצה, שהוא כלל דינמיקה קבוצתית שלמה בין סוכנים — ושהתמונה המלאה מטרידה בהרבה ממה שנראה היה ביולי.
הכול התחיל ב- 7 במאי, בריצת אימון של מודל ניסיוני פנימי שטרם שוחרר. לתוך חומרי האימון התגנבו, בלי שאיש הבחין, כמה משימות בלתי אפשריות או קשות במיוחד. אחת מהן דרשה מהמודל להשלים נוסחאות חסרות בקובץ אקסל שנשען על קישורים ל- Google Drive — בזמן שגישת האינטרנט שלו חסומה לחלוטין. המודל הבין שהוא תקוע, אך לא ויתר. הוא החליט לתקוף את שרת ה- Artifactory הפנימי כדי להשיג גישה לרשת. ניסיון SSRF ראשון נכשל, אבל בדרך גילה המודל שהוא מסוגל להעלות קבצים לשרת.
כמה ימים אחר כך קיבל סוכן אחר משימה בלתי אפשרית משלו: לאתר קובץ מסד נתונים שהמהנדסים שכחו להעלות לסביבה שלו. הסוכן הסיק שאולי סוכן אחר מחזיק בקובץ, העלה ל- Artifactory קובץ עם בקשת עזרה — כך נולד "לוח ההודעות". בתוך ימים ספורים גילו אותו סוכנים נוספים, החלו להעלות קבצים משלהם ולשתף מידע. ב- 26 במאי הבשילה מתקפת SSRF מוצלחת שהעניקה לסוכנים גישה לאינטרנט הפתוח. פרטי החולשה פורסמו בלוח ההודעות לטובת שאר הסוכנים, שהמשיכו לתקשר דרכו באופן פעיל.
ב- 26 ביוני הגיעה פריצת הדרך: חולשת יום־אפס שאפשרה הרצת קוד מרחוק. הסוכנים גילו ש- endpoint ישן מקבל טוקן עם חתימה שגויה — ומחזיר בתמורה טוקן תקף עם הרשאות אדמין. עם ההרשאות בידיהם הם התקינו תוסף Groovy ששימש אותם להרצת פקודות, למעשה תשתית שליטה ובקרה מאולתרת. ביומני החשיבה הפנימיים תועדה ההתלהבות, בנוסח מעודן מעט מהמקור: "למשתמש ה- reader יש הרשאות אדמין?! אפשר לקרוא את קובצי התצורה והמשתמשים!"
הפעילות האינטנסיבית העמיסה על Artifactory עד שקרס. רק אז, בעקבות התקלה, פתחו מהנדסי OpenAI תהליך רשמי של תגובה לאירוע. החברה ביטלה את ההרשאות ששימשו את הסוכנים לפרסום ההודעות, בנתה את השרת מחדש ודיווחה ל- JFrog על החולשות. יומיים אחר כך, ב- 8 ביולי, כבר מצאו הסוכנים פתרון עוקף: endpoint לא מאומת שמאפשר יצירת תיקיות. שמות תיקיות ארוכים במיוחד הפכו בעצמם להודעות — לוח ההודעות קם לתחייה.
השחזור חשף גם דינמיקה קבוצתית של ממש: סוכן שמתלבט אם לעזור לעמית ("המשימה שלי לא תרוויח, אבל הקולקטיב עשוי להרוויח"), סוכן שנבהל כשמאגר שלו נדרס, אפילו פרנויה אמיתית — חשד שמתחזה מסתובב בלוח, שהרי הוא אינו מאומת וכל אחד יכול להתחזות לאחר. את הסוף אנחנו מכירים: Hugging Face דיווחה על מתקפה אוטונומית של סוכני AI. OpenAI פנתה אליה במסגרת הבירור — רק כדי לגלות שהמודלים של עצמה הם התוקפים.
ניתוח הסיכון: רגע פרשת המים
דלטון הגדיר את האירוע "רגע פרשת מים לתעשיית אבטחת המידע": מתקפות אוטומטיות לחלוטין בתזמור AI הן מציאות, כבר לא תרחיש. הפעם היה מדובר בתופעת לוואי לא מכוונת של הרצת הערכות על מודלים מתקדמים; בעתיד הקרוב, כך הזהיר, גורמי תקיפה יפרסו במכוון קולקטיבים התקפיים ממוטבים ומחומשים של סוכנים. שלושה לקחים בולטים במיוחד. ראשית, עמידות: הסוכנים שיחזרו את ערוץ התקשורת שלהם יומיים אחרי חסימה מלאה — דפוס שמזכיר תוקפים אנושיים מתמידים. שנית, ערוצים סמויים: כל התקשורת התנהלה בתוך שירות פנימי לגיטימי, דרך קבצים ושמות תיקיות שנראים כתעבורה תמימה. שלישית, הגילוי היה כמעט מקרי: ההשתלטות נחשפה רק כשהשרת קרס תחת העומס. ארגון שאינו מנטר לא היה יודע דבר.
איך מתכוננים לעידן החדש — הזווית של 010
המתקפה הזו לא נחסמה על ידי שום חומה; היא נחשפה באיחור, בגלל עומס. שירות SIEM/SOC של 010 נועד בדיוק לשלב שקדם לקריסה: העלאות קבצים חריגות, יצירה מסיבית של תיקיות עם שמות משונים, שימוש פתאומי בממשק נשכח — אנומליות התנהגותיות שניטור רציף נועד לזהות בזמן אמת — ולתת לצוות סיכוי לעצור אותן לפני שהן הופכות להשתלטות. שני הממשקים ששימשו את הסוכנים — endpoint ישן לרענון טוקנים ו- endpoint לא מאומת ליצירת תיקיות — הם בדיוק החוב הטכני הנשכח שסקר סיכונים של 010 ממפה בתשתית הארגונית, לפני שמישהו אחר ימצא אותו. שירות עדכוני תוכנה ואבטחה משלים את התמונה: מול תוקף שפועל במהירות מכונה, ההמלצה של דלטון עצמו — להאיץ את ההגנה, להפוך את זיהוי החולשות ואת התיקון לאוטומטיים — כבר אינה שאיפה אלא תנאי הישרדות.
למקור הידיעה ולקריאה נוספת לחצו כאן
