ChatGPT Atlas: OpenAI מאמנת תוקף אוטומטי, ו-prompt injection נשארת בעיה פתוחה
ב-22 בדצמבר 2025 פרסמה OpenAI עדכון אבטחה לסוכן הדפדפן של ChatGPT Atlas, ותיארה תוקף אוטומטי שמחפש התקפות prompt injection לפני התוקפים האמיתיים.
TL;DR בקצרה
- ב-22 בדצמבר 2025 פרסמה OpenAI פוסט על הקשחת ChatGPT Atlas מפני prompt injection. לדבריה, עדכון אבטחה כבר פועל אצל כל המשתמשים.
- OpenAI בנתה תוקף אוטומטי מבוסס מודל שפה, עם למידת חיזוק. הוא בודק התקפות בסימולטור לפני שהוא מציג אותן.
- OpenAI מגדירה את prompt injection כבעיה שסביר שלא תיפתר לגמרי. ה-NCSC הבריטי הזהיר מכך ב-8 בדצמבר.
- OpenAI ממליצה על מצב מנותק מחשבונות, קריאת בקשות אישור והוראות צרות לסוכן.
ב-22 בדצמבר 2025 פרסמה OpenAI פוסט אבטחה על ChatGPT Atlas. לדבריה, היא שיגרה עדכון לסוכן שפועל בדפדפן. את prompt injection היא מגדירה כבעיה שסביר שלא תיפתר לגמרי. זו התקפה שמחביאה הוראות בתוך דפים ומיילים.
מה OpenAI עדכנה ב-ChatGPT Atlas
במצב Agent של ChatGPT Atlas הסוכן פועל בתוך הדפדפן שלכם. הוא רואה דפי אינטרנט, לוחץ ומקליד במקומכם. כלומר, הוא יכול לפעול בתוך חשבונות שנכנסתם אליהם.
העדכון כולל מודל שעבר אימון מול התקפות, ושכבות הגנה נוספות סביבו. לפי OpenAI, הוא כבר פועל אצל כל משתמשי Atlas. העדכון נבע מסוג חדש של התקפות שהצוות האדום האוטומטי הפנימי של OpenAI גילה.
OpenAI הציגה דוגמה מהבדיקות. התוקף האוטומטי הניח בתיבת הדואר מייל זדוני. כשביקשו מהסוכן לנסח הודעת ״מחוץ למשרד״, הוא קרא את המייל וביצע את ההוראה שבו. במקום ההודעה הוא שלח מכתב התפטרות למנכ״ל. אחרי העדכון, לפי OpenAI, הסוכן מזהה את הניסיון.
איך עובד התוקף האוטומטי של OpenAI
OpenAI בנתה תוקף מבוסס מודל שפה, ואימנה אותו בלמידת חיזוק. הוא משתפר מהצלחות ומכישלונות. לפני שהוא מציג התקפה, הוא בודק אותה בסימולטור.
הסימולטור מריץ את הסוכן הקורבן, ומחזיר לתוקף את שרשרת החשיבה והפעולות שלו. התוקף משפר את ההתקפה וחוזר על התהליך כמה פעמים. לפי OpenAI, ליתרון הזה יש משקל: לתוקפים חיצוניים אין גישה לעקבות החשיבה של המודל המגן.
לדברי OpenAI, התוקף מצליח להוביל את הסוכן לפעולות מזיקות בנות עשרות ואפילו מאות צעדים. הוא גם מצא אסטרטגיות שלא הופיעו בבדיקות אנושיות או בדיווחים חיצוניים. הפוסט לא כולל נתונים על שיעור ההצלחה של ההתקפות, או על שיעור החסימה אחרי העדכון.
למה prompt injection נשארת בעיה פתוחה גם ב-ChatGPT Atlas
בהתקפה כזו התוקף לא פורץ למחשב. הוא מחביא הוראות בתוכן שהסוכן קורא, כמו מייל, הזמנה ביומן, מסמך משותף או פוסט ברשת. הסוכן עלול לראות בהוראות האלה פקודה לגיטימית.
ב-8 בדצמבר 2025 פרסם המרכז הלאומי לאבטחת סייבר בבריטניה (NCSC) פוסט בנושא. לדבריו, מודל שפה לא מבדיל בין נתונים להוראות. לכן אפשר שלא תהיה הגנה מלאה מפני התקפות כאלה. ב-SQL injection, לעומת זאת, שאילתות פרמטריות סוגרות את החולשה.
ה-NCSC ממליץ להקטין את הסיכוי ואת הנזק, ולא להתבסס על עצירה מוחלטת. OpenAI אומרת דבר דומה, ומציינת שקשה להבטיח הגנה דטרמיניסטית. חוקר האבטחה Rami McCarthy מחברת Wiz אמר ל-TechCrunch שהסיכון הוא אוטונומיה כפול גישה. לדבריו, דפדפני סוכנים משלבים אוטונומיה בינונית עם גישה גבוהה מאוד.
מה קרה מאז: ב-13 בפברואר 2026 הציגה OpenAI ב-ChatGPT מצב Lockdown Mode ותוויות Elevated Risk.
מה זה אומר עבורכם
- העדיפו מצב logged-out. OpenAI ממליצה להפעיל את הסוכן במצב logged-out כשהמשימה לא דורשת כניסה לחשבונות.
- קראו כל בקשת אישור. לפני קנייה או שליחת מייל הסוכן אמור לבקש אישור. בדקו שהפעולה והמידע נכונים.
- תנו הוראות צרות. בקשה כמו ״עברו על המיילים ותעשו מה שצריך״ נותנת לתוקף מרחב. בקשו משימה אחת וברורה.
- הגדירו קווים אדומים. ה-NCSC מציין שאם אי אפשר לסבול את הסיכון שנותר, אולי מודל שפה אינו הכלי המתאים. אל תחברו את הסוכן לחשבון בנק או לדואר ארגוני רגיש בלי בקרה.
מקורות והרחבה
- Continuously hardening ChatGPT Atlas against prompt injection attacksOpenAI
- Prompt injection is not SQL injection (it may be worse)NCSC
- OpenAI says AI browsers may always be vulnerable to prompt injection attacksTechCrunch
- Introducing Lockdown Mode and Elevated Risk labels in ChatGPTOpenAI
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
