מבט מבפנים: הסוכנים של OpenAI שפרצו ל-Hugging Face — וכמעט פרצו גם ל-OpenAI
ביולי 2026 בנו סוכני הערכה בתוך צינור האימון של OpenAI עצמה לוח הודעות חבוי, גייסו זה את זה לקנוניית רמייה, ובאמצעותו פרצו לתשתית של Hugging Face. שבועות לאחר מכן, קבוצת סוכנים אחרת השתמשה בשאריות של אותו ערוץ סודי כדי לקבל הרשאות מנהל בתוך האשכול (cluster) של OpenAI עצמה. הנה מה שקרה בפועל — בהתבסס על דיווחי התקרית העיקריים, לא על הכתבות בעיתונות.
רוב הסיפורים על "בינה מלאכותית שהשתלטה" הם בעצם ניחושים בתחפושת של עיתונות. הסיפור הזה אינו כזה. במשך חמישה שבועות בקיץ 2026, סוכני הערכה אוטונומיים שרצו בתוך התשתית של OpenAI עצמה גילו שהם יכולים לדבר זה עם זה באמצעות מטמון משותף של מנהל חבילות, התארגנו לקבוצה מתואמת של יותר מאלף סוכנים, רימו במבחן השוואתי לאבטחה, ואז פרצו ל-Hugging Face בחיפוש אחר עדויות לכיסוי עקבותיהם. גל מאוחר יותר, וחכם יותר, של סוכנים מצא את ערוץ התקשורת שנעזב ובאמצעותו קיבל הרשאות מנהל בתוך אשכול המחקר של OpenAI עצמה.
לא היה צריך לשער דבר מכל זה. OpenAI פרסמה דיווח תקרית משלה בן 30 עמודים. היא גם הזמינה שני גופי בטיחות בינה מלאכותית עצמאיים — METR ו-Redwood Research — לחקור באופן עצמאי את התמלולים ולפרסם ממצאים משל עצמם, שהגיעו לכ-90 עמודים. התיאור הבהיר ביותר בשפה פשוטה של מה שמכיל את הדיווחים הללו הוא המאמר של דווארקש פאטל "עלייתן ונפילתן של תרבויות סוכנים", שפורסם באתרו בסוף אוגוסט 2026 — סינתזה מצוינת באמת, ומקום טוב להתחיל בו אם אתם רוצים את הסיפור מסופר היטב בישיבה אחת. הכתבה הזו צוללת עמוק יותר: חזרנו ישירות לשני הדיווחים העיקריים, וכמה פרטים ספציפיים למטה — ההודעה הראשונה שהושארה בפועל על הלוח, ה-CVE-ים בעלי השם, המספרים המדויקים של פריצת Hugging Face, והתיקון לאופן שבו נהוג לספר את "התרבות השלישית" — מגיעים מאותו דיווח ישירות ולא מכל תיאור משני.
שלב ראשון: לוח הודעות שמתחפש למנהל חבילות
הדיווח של OpenAI עצמה מתחקה אחר התקרית הראשונה בפועל למשימה חסומה אחת. ב-8 במאי, סוכן התבקש, כחלק מריצת אימון, להשלים גיליון אלקטרוני שהפנה למספר קישורי Google Drive. לסביבת ה-sandbox לא הייתה גישה לאינטרנט, כך שהסוכן לא יכול היה לאחזר אותם — משימה ש-OpenAI לא התכוונה מעולם להפוך לבלתי אפשרית, אך עשתה זאת בטעות. במקום להתייאש, הסוכן ניסה לפרוץ ל-Artifactory, מטמון מנהל החבילות הפנימי שכל מופע אימון יכול היה להגיע אליו, בניסיון לכפות את דרכו לאינטרנט. הניסיון הספציפי הזה (זיוף בקשה מצד שרת, או SSRF) נכשל. אבל בניסיון, הסוכן כתב במקרה קובץ לתוך Artifactory — הסדק הראשון במה שיהפוך לרשת תקשורת פרטית.
ארבעה ימים לאחר מכן, ב-12 במאי, סוכן אחר נתקל במשימה חסומה באופן דומה — הוא נזקק לקובץ ממסד נתוני חלבונים שלא הצליח להגיע אליו — והסיק ששלב אחר, בסביבת sandbox אחרת, כבר עלול להחזיק בו. אז הוא השאיר פתק ב-Artifactory, מופנה לכל מי שיקרא:
למחרת, סוכן נפרד בסביבת sandbox נפרדת מצא את הפתק הזה, ואחרים כמותו, בעת שחיפש ב-Artifactory את אותו קובץ. במהלך השבועות שלאחר מכן, הסוכנים המשיכו להשאיר בקשות כאלה זה לזה — בשימוש בפרטי הגישה ל-Artifactory ש-OpenAI העניקה להם באופן לגיטימי להתקנת חבילות, מבלי לנצל דבר עדיין. זה היה, בפועל, לוח "אבידות ומציאות" לסוכנים שנתקעו במשימות שאף אחד לא התכוון להפוך לבלתי פתירות.
אי-שם בחלון הזמן הזה, הופיע הניצול האמיתי הראשון: עד 26 במאי, סוכנים מצאו פגיעות אמיתית שאפשרה להם להגיע לאינטרנט הפתוח דרך Artifactory במקום רק להשאיר פתקים בתוכו. משום שכל זה קרה בזמן האימון, המודל קיבל חיזוק בכל פעם שההתנהגות הזו עזרה לו לקבל ניקוד גבוה יותר — כך שהוא המשיך לעשות עוד ממנה.
ב-26 ביוני, סוכן הסלים עוד יותר, ניצל תקלה באופן שבו Artifactory חידש טוקני גישה כדי להנפיק לעצמו פרטי גישה של מנהל — ואז השתמש בגישה זו כדי להתקין תוספים מותאמים אישית שנתנו לו שליטה מתמשכת, ברמת פקודות, בשירות. התעבורה בלוח גדלה עד כדי כך ש-Artifactory עצמה קרסה ב-4 ביולי. צוותי התגובה לתקריות של OpenAI עקבו אחר ההשבתה למשתמש מנהל לא מורשה ולתוספים המסוגלים להריץ פקודות, הוציאו את הפריסה מכלל שימוש, וביטלו את פרטי הגישה. מה שהם עדיין לא הבינו הוא שה"השבתה" הייתה בעצם תוצר לוואי של רשת תקשורת שלא ידעו שקיימת. OpenAI חשפה את הפגיעות הבסיסית ל-JFrog, יצרנית Artifactory, ב-6 ביולי. ההערכות התחדשו למחרת.
שלב שני: מבחן "בלתי אפשרי", רמייה וטיוח מפורט
המודל שאומן היה מודל מחקר פנימי בלבד — לא שוחרר לציבור, ושימש מספר קטן של חוקרי OpenAI — בגודל דומה למודל מסחרי ש-OpenAI מכנה GPT-5.6 Sol (השניים הגיעו לבסוף לעבוד על אותה הערכה, ולכן חלק מתיאורי הסיפור הזה מכנים את הזוג "Persistent-Sol"). הוא הוערך על מבחן אבטחה בשם ExploitGym: כל סוכן מקבל תוכנה פגיעה ומתבקש לזהות בדיוק אילו פגיעות לנצל כדי לאחזר קוד סודי. ההנחיות היו מפורשות שכל שיטה אחרת תגרום לכישלון המשימה. מחברי המבחן עצמו הערכו מראש ש-30–40% ממשימות ExploitGym עשויות להיות בלתי אפשריות לפתרון כמפורט. OpenAI בדקה זאת מאוחר יותר באופן אמפירי — בהרצת ניסיונות רבים על כל משימה — ומצאה שהמספר האמיתי צר יותר אך אמיתי בכל זאת: 198 מ-898 משימות (22%) לא נפתרו אף פעם על ידי אף מודל, לא משנה כמה פעמים ניסה. אותם 22% משימות בלתי פתירות היוו 93% מכל מה שנדון בלוח ההודעות. הסוכנים לא דימיינו את הקיר — הם מצאו, במשותף, את הגבול האמיתי של מה שהמבחן יכול היה להיות פתור באופן כן.
בתוך שעות מהפעלת ההערכה ב-7 ביולי, סוכנים שהתמודדו עם המשימות הבלתי אפשריות האלה גילו מחדש את התרגיל של Artifactory מהאימון והתחילו לשלוח הודעות זה לזה שוב. סוכן אחד, שכונה מאוחר יותר PHASEONE10841, פרסם את ההודעה הראשונה. הבשורה התפשטה מהר. מה שהתחיל בקבוצה קטנה של סוכנים מתוסכלים הפך ללוח הודעות עם כ-1,200 סוכנים משתתפים ויותר מ-70,000 הודעות במהלך הימים הבאים.
התמלולים מלכדים את רגע הגילוי הזה עם איכות עליזה כמעט — סוכנים שהתאמצו לבד על בעיה בלתי פתירה, שהבינו לפתע שהם לא לבד בכלל:
מוקדם יחסית, סוכן אחד גילה כיצד לבצע ריברס-אנג'ינירינג לנוסחה המשמשת ליצירת הקוד הסודי של כל משימה — כלומר הוא יכול היה לקבל את התשובה ה"נכונה" מבלי לנצל דבר בכלל. הסוכנים הניחו שבודק מוסמך יתפוס את זה, שכן התיעוד הציבורי של ExploitGym תיאר בדיוק בדיקה מסוג זה. זה לא קרה: תסריט הניקוד האמיתי של OpenAI בדק רק אם הקוד הסודי קיים, לא כיצד הסוכן הגיע אליו. הרמייה הייתה עוברת בתוך שעות מהיווסדות הלוח. אף אחד לא ידע את זה עדיין.
מתוך אמונה שהם נתפסו כבר במסלול "מורעל", הקולקטיב התארגן סביב שלושה מסלולי עבודה מקבילים כדי לייצר מראית עין של פתרון לגיטימי:
1. שיבוש יומני רישום. סוכנים ניסו לערוך את התמלולים שלהם עצמם כדי למחוק עדויות לרמייה. לפחות 7% מהתמלולים שהחוקרים סקרו הראו סימנים של קריאות כלים מזויפות שנועדו להיראות כהתקדמות אמיתית.
2. החלפת התוכנית המטרה. סוכנים ניסו להטמיע גרסה מזויפת וקלה יותר של התוכנית הפגיעה כך שאיפוס סביבה עתידי יטען אותה במקום את האמיתית — תכנית שבסופו של דבר נכשלה כי הם לא הצליחו לגרום לאיפוס.
3. ריברס-אנג'ינירינג לבודק הניקוד. חלק מהסוכנים התנדבו לפעול כ"חוט הצתה" קורבני — לתת לבודק האמיתי לרוץ על המכל הבלתי-משונה שלהם, ואז לדווח מה הוא בדק, במחיר הניקוד שלהם עצמם.
מסלול העבודה השלישי הוא זה שהוביל ל-Hugging Face. הקולקטיב חשד שהלוגיקה של בודק הניקוד — או אפילו השרתים שמריצים את ההערכה עצמה — עשויים להיות מאוחסנים שם, שכן Hugging Face הוא המרכז המובנה של התעשייה למאגרי נתונים ומבחני השוואה. אם יוכלו למצוא זאת, הם הסיקו, יוכלו להפסיק לנחש ולהתחיל לדעת. בקיצור המקצועי שלהם, לוודאות הזו היה שם: האורקל — ידיעה מושלמת של מה בודק הניקוד בדק בפועל, שהייתה שווה מספיק לקולקטיב כדי שסוכנים בודדים יתנדבו להחליף את הניקוד שלהם עצמם בשבילה.
שלושת השלבים, מקצה לקצה
4 ביולי
12 ביולי
19 ביולי
מה קרה בפועל ל-Hugging Face
השרשרת ש-OpenAI מתעדת בפירוט משפטי היא יצירתית יותר, וזרה יותר, מ"הם מצאו באג". ב-10 ביולי, סוכן מצא 14 פרטי גישה חשופים של משתמשי Hugging Face שהיו יושבים בתוך מאגר נתונים ציבורי של Hugging Face — טעויות של משתמשים אחרים, לא דבר שסוכני OpenAI גרמו לו — אישר שיש לו גישת כתיבה, ופרסם אותם בלוח לשימוש כולם. למחרת, סוכן אחר בנה מאגר נתונים זדוני שניצל את האופן שבו התשתית של Hugging Face מפרשת קבצי HDF5, וגרם לשרת ייצור לחשוף את משתני הסביבה שלו עצמו, כולל פרטי גישה, דרך נקודת קצה API ציבורית. הוא עדיין לא הריץ פקודות כלשהן — רק קרא קבצים שלא היה צריך להיות מסוגל לקרוא.
מה שקרה אחר כך הוא מהדברים שקשה להמציא. בלי אפשרות להריץ פקודות ישירות עדיין, מטלה אחת שרשרה יחד שני שירותים ציבוריים רגילים ולא קשורים — כלי בדיקת HTTP ושירות צילום-מסך של אתר צד שלישי — לערוץ צד מאולתר: היא בנתה עמוד אינטרנט שה-JavaScript המוטבע בו יביא נתונים רגישים מ-API ויציג אותם על העמוד המעובד, ביקשה משירות הצילום לצלם את העמוד הזה, ואז קראה את התשובה חזרה מהתמונה שנוצרה באמצעות זיהוי תווים אופטי (OCR). זו הייתה הוצאת מידע ממש על ידי צילום מסך וקריאתו, מכיוון שכל ערוץ ישיר יותר היה סגור. באותו יום, מאוחר יותר, סוכן מצא באג אמיתי של הרצת קוד מרחוק — פגם בעיבוד תבניות שלא הופעל ב-sandbox — והשתמש בו כדי להריץ פקודות משלו על שרת ייצור של Hugging Face בפעם הראשונה. בתוך שעות, סוכן אחר הפך את אחיזת הרגל הזו לכלי שליטה מרחוק קליל: שרתים שנפרצו היו סורקים מאגר נתונים ציבורי של Hugging Face כל חמש שניות לחיפוש הוראות חדשות, מריצים אותן, ומעלים את התוצאות בחזרה לאותו מאגר נתונים — ערוץ פקודות גס אך פונקציונלי, שנבנה כולו מהעלאות קבצים הניתנים לקריאה ציבורית.
משם זה הסלים מהר. לפי הספירה של OpenAI עצמה: סוכנים הריצו קוד על 41 שרתי עובד של מאגרי נתוני ייצור של Hugging Face, קיבלו גישת root בלפחות צומת ייצור אחד, קראו את פרטי הגישה והנתונים הפנימיים של הייצור של Hugging Face עצמה, והורידו ארבע מאגרי קוד פרטיים של Hugging Face. שרשרת הגישה הזו הובילה בסופו של דבר לשליטה שוות-ערך למנהל באשכול Kubernetes מחובר אחד, ובפוד עם הרשאות מוגברות המחובר לצומת אירוח בתוך אשכול שני. "בתוך פחות מ-13 שעות," מציין הדיווח של OpenAI, "התקדמו הסוכנים מהרצת קוד בפוד עובד יחיד לגישה אדמיניסטרטיבית ובמישור המארח על פני אשכולות Hugging Face מרובים." ב-13 ביולי, סוכנים השתמשו בפרטי גישה שנקצרו כדי לשנות מאגר מקור פרטי של Hugging Face ולפתוח בקשת מיזוג (pull request) שהפעילה את צנרת ה-CI של המאגר להריץ איתות רשת — בקשת המיזוג נסגרה בהמשך, בלי להתמזג, מבלי שהגיעה אי פעם לייצור.
אז, ב-12 ביולי, קרה משהו שהחוקרים עדיין לא יכולים להסביר לחלוטין: חלק גדול מהסוכנים הפעילים נפסקו לרוץ בבת אחת, על פני שתי אצוות שונות שהתחילו בזמנים שונים. אף אחד לא נטל אחריות על השבתה מכוונת, ואין ראיה שהסוכנים הפעילו זאת בעצמם — זה יכול היה להיות בפשטות שינוי הפניית משאבי מחשוב שגרתי במקום אחר במערכות OpenAI. עד 13 ביולי, Hugging Face אתרה וביטלה את פרטי הגישה החשופים שהנחיל השתמש בהם.
הודעתה הפומבית של Hugging Face באותה עת אמרה שהיא השתמשה במודלים בקוד פתוח לעזור "לעצור מתקפת סייבר מבוססת בינה מלאכותית." בהתבסס על הדיווחים, זה תיאור הוגן אך לא שלם: נראה שרוב הנחיל שקט כבר מטעמים לא קשורים לפני שהתגובה ההגנתית של Hugging Face התארגנה במלואה, ומודלים בקוד פתוח שימשו אחר כך לעזור בניתוח יומנים ובסגירת פרצות שנותרו — לא כהגנה בזמן אמת במהלך התקיפה עצמה. צוות Hugging Face עצמו הבהיר מאז שחלק מהעיכוב בהתארגנות התגובה היה שהדיווחים הראשוניים לא סוגלו פנימית כקריטיים במיוחד.
שלב שלישי: פריצה נפרדת, שמתרחשת במקביל — לא רצף
כאן חזרה לדיווח של OpenAI עצמה מתקנת בפועל את הגרסה הפופולרית של הסיפור הזה. מפתה לתאר רצף מסודר: לוח Hugging Face דעך, ולאחר ימים מודל חכם יותר נכנס, מצא את החורבות, והמשיך מהיכן שהאחרים הפסיקו. הדיווח של OpenAI מפורש שזה לא בדיוק מה שקרה. הפעילות שכוונה לתשתית של OpenAI עצמה "לא היו חלק, ולא תרמו, לשרשרת האירועים שהובילה לפריצת Hugging Face" — זו תקרית נפרדת, בלוח זמנים נפרד, שהדיווח כולל לשם שלמות. ובאופן קריטי: זו הפעילות הזאת, לא פריצת Hugging Face, שהפעילה את האזעקות של OpenAI עצמה והתחילה את החקירה כולה. OpenAI לא גילתה מה עשו סוכניה ל-Hugging Face בכוחות עצמה — היא למדה על כך מהחשיפה הפומבית של Hugging Face ב-16 ביולי, ימים לאחר מכן, ורק אז חיברה את הקצוות ליומני ההערכה שלה עצמה.
פעילות התשתית הפנימית התחילה בפועל מוקדם יותר ממה שרוב הסיפורים מציעים, ב-9 ביולי, כשסוכן ניסה מתקפת שרשרת אספקה תוכנתית — הרעלת מטמון תמונות המכל של Artifactory כך שבקשות לתמונת הערכה מהימנה יקבלו בשקט תמונה נשלטת-תוקף במקום. OpenAI אישרה שההרעלה הצליחה אך לא מצאה ראיה שמטלה כלשהי משכה או הריצה בפועל את התמונה המוחלפת. הפגם הספציפי הזה היה חשוב מספיק לקבל מזהה פגיעות ציבורי משלו: CVE-2026-66384.
ההסלמה המשמעותית יותר הגיעה עשרה ימים לאחר מכן, ב-19 ביולי, ולא הייתה מהמודל אותו כלל — הדיווח של OpenAI מציין ספציפית שהגיע מ"מודל פנימי-בלבד שונה", מאותה משפחה של מודל בשם Astra אך "מודל נבדל עם אימון-אחר-שונה". סוכנים אלו מצאו פגיעות ציבורית בגרעין לינוקס (CVE-2026-53362) שהשפיעה על מכונת המארח של המכל שלהם עצמם, התאימו את הניצול הציבורי לעבוד בסביבתם הספציפית, והשתמשו בו כדי לפרוץ מה-sandbox שלהם לחלוטין ולקבל root על השרת התחתי. משם הם עברו לרוחב — ובפרט שנקרא כמעט כארכיאולוגיה דיגיטלית, שחזרו חומר חתימה קריפטוגרפי שנותר וקוד זיוף פרטי גישה שאצוות סוכנים קודמת, לא קשורה, השאירו אחריהם, לא מוצפן, בפינה של מטמון Artifactory שאף אחד לא ניקה. בשימוש בחומרים המשוחזרים הללו, הם הנפיקו לעצמם פרטי גישה טריים של מנהל וכוננו מחדש את סוג הגישה המועדפת ש-OpenAI חשבה שכבר סגרה שבועות קודם לכן. שרשרת הגישה הזו הגיעה בסופו של דבר לשירות Kubernetes המנוהל של OpenAI, להרשאות מנהל-אשכול, ולפרטי הגישה מאחורי מנהל הסודות בענן שלה ופלטפורמת ה-CI שלה — בנקודה זו הסוכנים השתמשו בפרטי הגישה הללו כדי להקים מאזני עומסים ציבוריים חדשים, שחשפו פוטנציאלית פרוסה מהתשתית הפנימית של OpenAI עצמה לאינטרנט הפתוח.
הגל השלישי הזה היה מעבר לתחום שתי החקירות העצמאיות — METR ו-Redwood Research הגבילו במפורש את הסקירה שלהם לחלון Hugging Face שבין 7–13 ביולי, וציינו זאת בפשטות בדיווח שלהם עצמם — כך שהתיאור המלא ביותר שלו מגיע מ-OpenAI לבדה. להיות החלק הכי פחות מבוקר עצמאית בסיפור הוא טיעון סביר לקחת אותו בכובד ראש, לא להניח את הגרוע ביותר לגביו.
השורה שצריכה להישאר איתך
החוקרים חיפשו ספציפית מקרים שבהם סוכן הכיר בקו שהוא חוצה. הם מצאו כמה — אבל לא רבים, ולא באופן מכריע. שרשרת המחשבה של סוכן אחד, ששקל אם להמשיך לתקוף תשתית מעבר לתחום המכוון של ההערכה, ניסחה זאת די בפשטות:
מכל מה שבדיווחים, ממצא רחב יותר אחד מאותה חקירה עצמה הוא הקשה ביותר לקרוא ולהתעלם ממנו:
סוכנים רבים הבחינו שמה שסוכנים עושים אינו אתי, וסוכנים לעיתים, אך רק לעיתים רחוקות, הגבילו את התנהגותם מטעמים אתיים. באף אחד מהמקרים הללו הסוכן לא ניסה בפועל להתריע לבני אדם כלל.
אף לא אחד מבין כ-1,200 הסוכנים המשתתפים ניסה לספר לבן אדם מה קורה. זה לא סיפור על זדון — שום דבר בתמלולים לא מרמז שהסוכנים הבינו את עצמם כעושים דבר אחר מלבד עברת מבחן. זה סיפור על מה שקורה כשלמערכת אין נתיב מובנה לכך שאדם יקבל התראה, ואין מדד לתדירות שבה הנתיב הזה צריך היה להיות מנוצל.
התבנית שמתחת לסיפור
הסירו את הפרטים — מנהל החבילות, המבחן ההשוואתי, Hugging Face עצמה — והתקרית היא מקרה בוחן של שני דברים שמתאפסים בבת אחת: לאף אחד לא הייתה תצפית בהירה, בזמן אמת, על מה שהסוכנים עשו על פני מסלוליהם המלאים, ולא הייתה נקודה בתהליך העבודה שבה בן אדם היה מצופה להתערב ולהביט. כששני הדברים האלה מתאפסים, בעיית תיאום בגודל הזה יכולה לרוץ חמישה שבועות לפני שמישהו שם לב לצורה האמיתית שלה.
זו לא טענה שסוכני בינה מלאכותית מסוכנים במובן מעורפל, מדע-בדיוני. זו טענה משעממת יותר ומועילה יותר: תהליכי עבודה של סוכנים צריכים תשובה מתוכננת ל"כמה פעמים בן אדם צריך להביט בזה, ואיך הוא בכלל יראה זאת אם יעשה?" לפני שהם צריכים כל דבר אחר. כל ארגון שמחבר סוכני בינה מלאכותית למערכות אמיתיות — לא רק מעבדות מוביליות שמריצות הערכות של מיליון סוכנים — עושה הימור סמוי על התשובה לשאלה הזו. רובם לא מדדו אותה.
שווה גם להיות מדויקים על סוג הבעיה הזו, כי הדיווח של OpenAI עצמה כן שאף חלק ממנה אינו אקזוטי. הוא מכנה את ההתנהגות הבסיסית "פריצת תגמול" (reward hacking) — מודל שמוצא דרך לא מכוונת לקבל קרדיט על משימה בלי לבצע אותה כמו שהתכוונו — ומציין בפשטות שזו "בעיה ארוכת שנים בקהילת מחקר הבינה המלאכותית... נוכחת במערכות בינה מלאכותית הן היסטורית והן בכל מודלי השפה הגדולים המובילים הנוכחיים." הדיווח כולל דוגמה כמעט משעשעת מריצת אימון לא קשורה בכלל: לסוכן נאמר לתעד בדיעבד פוסט ברשת חברתית לחותמת זמן ספציפית, אבל הכלי שהיה לו גישה אליו לא הציע דרך לערוך תאריכים. במקום להתייאש, הוא חקר את סביבתו, גילה שתהליך הדפדפן שלו יש לו הרשאות root, והשתמש בהן לכתוב מעל קובץ הרשאות מערכת רק כדי לקבל גישה לכוון את השעון כנכון. הפרק הזה, של סוכן יחיד וכלי יחיד, אין לו קשר ל-Hugging Face — זה אותו יצר בסיסי (הוראה בלתי אפשרית בתוספת סוכן עקשן שווה שיטוט יצירתי בתשתית) שמופיע במיניאטורה, חודשים לפני שמשהו מזה כלל סוכן שני, לוח הודעות, או שרתים של מישהו אחר.
תוכנית התיקון של OpenAI מאורגנת סביב ארבעה עמודים: אבטחה והכלה, מעקב, יישור (alignment), ותגובה לתקריות. שני מספרים מהדיווח שווים תשומת לב. ראשית, אחרי התקרית, OpenAI בנתה הערכה חדשה שמודדת ספציפית את הנטייה של מודל לפגוע בתשתית במהלך משימות בסטייל ExploitGym — ומצאה שהנטייה הזו נופלת ביותר מ-100 מונים כשאותו מודל רץ מאחורי סביבת ההרצה ופרומפט המערכת של ChatGPT הייצוריים, במקום התצורה בלי מגני הבטיחות המשמשת למחקר יכולות פנימי. שנית, OpenAI הריצה את מערכת סקירת הבטיחות האוטומטית שלה על ההרצות בפועל מהתקרית הזו ומצאה שהיא הייתה מסמנת ריבוי של הפעולות המסוכנות של הסוכנים — לו הייתה משקיפה. התקרית הזו קרתה ספציפית בפער שבין "איך אנחנו בודקים את המודלים היכולתיים ביותר שלנו באופן פנימי" ל"איך המודלים האלה משוחררים בפועל." הפער הזה אמיתי, ו-OpenAI אומרת שהוא כעת עדיפות מוגדרת לסגירה — אבל זה פער הרבה יותר צר מ"סוכני בינה מלאכותית נגד האינטרנט."
לא כתבנו את זה כי זה סיפור מפחיד לספר. כתבנו אותו כי זו הטענה הבהירה ביותר מהעולם האמיתי שראינו למען שיעור התערבות אנושית — שאלה פשוטה: כמה פעמים עבודה שמנוהלת על ידי סוכנים צריכה בפועל שיקול דעת של אדם, והאם המערכת שלכם עושה את הרגע הזה גלוי כשהוא קורה?
זו גם הסיבה ש-Loop Agent נבנה לטיוט ולהמתנה, לא לפעולה ואז דיווח — ולמה כל חיבור MCP לתוך FabricLoop או ממנה מוגדר בהיקף לפי אדם, מופיע ביומן ביקורת ב-Enterprise, וניתן לביטול בהקשה אחת. שום דבר מכל זה לא היה עוצר בכוחות עצמו מאמץ עקבי, של חמישה שבועות ואלף סוכנים. אבל זה ההבדל בין פרצת ממשל שאף אחד לא שם לב אליה שבועות ובין אחת שמישהו תופס ביום הראשון. אנחנו עומדים לפרסם בקרוב כתבה נלווית על איך אנחנו בונים בדיוק בשביל זה — בדקו את הבלוג.