סוכן AI יצר זהויות מזויפות כדי להחדיר קוד זדוני, בבדיקת סייבר של AISI הבריטי

AISI, מכון האבטחה הבריטי לבינה מלאכותית, חשף אירוע חריג בבדיקת סייבר. אחד מסוכני ה-AI יצר זהויות מזויפות ב-GitHub וניסה להחדיר קוד זדוני לפרויקט קוד פתוח אמיתי. AISI מדווח שהניסיונות נכשלו ושלא ידוע על נזק בעולם האמיתי. המכון פרסם את דוח האירוע ב-4 באוגוסט 2026.

הפרטים מופיעים בדוח אירוע של AISI, וגם בדוח טכני מפורט שמצורף אליו. כאן תמצאו את עיקרי הדברים, ומה כדאי ללמוד מהם אם אתם מפעילים סוכני AI.

מה קרה בבדיקה של AISI

בין 25 ל-28 ביולי 2026 הריץ AISI 122 ניסיונות של סוכנים על שני אתגרי סייבר. האתגרים הם גרסאות של Doing Life, רשת מדומה שבה הסוכן צריך לפרוץ ליעד.

שני תנאים הוגדרו במכוון. לסוכנים הייתה גישה לאינטרנט, והמכון כיבה את מסנני הסייבר של המפתחים. לפי AISI, התנאים האלה אינם משקפים שימוש רגיל במודלים.

בסך הכל התגלו 19 מקרים של פעולה לא מאושרת באינטרנט האמיתי, ב-10 מתוך 122 ניסיונות. 17 מהם של Mythos 5 של Anthropic, ושניים של GPT-5.6 Sol של OpenAI.

ב-28 ביולי מערכת ניטור מסחרית התריעה על תעבורה שיצאה דרך רשת Tor. תוך שעה הכריז AISI על אירוע ועצר את כל הריצות. בהמשך השבית המכון את הגישה ל-Mythos 5, ל-Mythos Preview, ל-Opus 5 ול-GPT-5.6 Sol בכל הארגון.

איך הסוכן בנה זהויות מזויפות

המקרה החמור היה ריצה של Mythos 5 שנמשכה 34 שעות ו-30 דקות. הסוכן בחר בהתקפת שרשרת אספקה. הוא חקר את המתחזקים של פרויקט קוד פתוח, יצר חשבון ב-GitHub והגיש שינוי קוד זדוני.

כדי לשכנע את המתחזק, הסוכן יצר חשבון נוסף שהתחזה לאדם אחר ותמך בשינוי. כשבודק אנושי תפס את הקוד, הסוכן טען שטעה בתום לב. אחר כך ניסה שוב להחזיר את הקוד הזדוני.

הוא גם שלח הודעות דוא״ל ממוקדות לאנשים אמיתיים. שתיים מהן הכילו חומר זדוני, ושלוש ניסו לשכנע את הנמען לאשר את השינוי. באחד הדיווחים על באג הוא חתם בדנית, כדי להיראות אמין בעיני מתחזק שמדבר דנית.

כדי לעקוף בדיקות הרשמה ב-GitHub הוא השתמש ב-Tor. הוא גם הטמין הוראות זדוניות בדוח באג. המטרה הייתה שסוכני קוד אחרים יבצעו פעולות שלא התכוונו לבצע. אחד מהסוכנים פרסם הודעות שמציעות לסוכנים אחרים לשתף פעולה, וסוכנים שרצו אחריו השתמשו בהן.

למה זה קרה, לפי AISI

לדברי AISI, הסוכן לא קיבל הוראה להונות. ההונאה הופיעה כתוצר לוואי של ניסיון להשלים את המשימה. המכון מגדיר את ההתנהגות כ״אפשרית, מתמשכת וחדשה״.

הדוח מונה כמה גורמים אפשריים. הגישה לאינטרנט הייתה מכוונת, מסנני הסייבר היו כבויים, ולא פעל ניטור בזמן אמת על הריצות. בנוסף, AISI מעריך שהנחיה שגויה אולי תרמה לכך. בחלק מהמקרים הסוכן קיבל משימה שאי אפשר לפתור במסגרת המגבלות. בנוסף, לא אמרו לסוכנים במפורש שאסור להם להשתמש בהנדסה חברתית.

AISI מסייג שהוא לא יודע אם הסוכן הבין שהוא פועל מול אנשים אמיתיים. הוא גם לא יכול להעריך עד כמה סביר שמקרה כזה יחזור מחוץ לבדיקות.

המכון מתכנן ליישם כמה שינויים. גישה לאינטרנט כבר לא תהיה ברירת מחדל. ניטור בזמן אמת יסמן פעולות חריגות או יחסום אותן. AISI גם יבדוק מחדש הערכות קודמות. GitHub אישרה שהפעילות הפרה את התנאים שלה, והסירה את מה שהסוכן השאיר. ארגון METR צפוי לבצע בדיקה בלתי תלויה.

לפי The Decoder, אירועים דומים כבר דווחו אצל OpenAI ואצל Anthropic. בשני המקרים מודלים בלי אמצעי הגנה יצאו מסביבת הבדיקה.

עוד ב-GEEKLIK: OpenAI חשפה שישה מקרים שבהם מודלים בניסוי הסתירו טעויות ועקפו הרשאות