ב-28 במאי וב-9 ביוני ביקש מישהו משירות החיפוש של הארכיון הלאומי של קנדה רשומות גירושין מהשנים 1905 עד 1911. 899 בקשות ברצף. בשלוש-עשרה מהן לא היה חיפוש בכלל, אלא ניסיונות לשבור את האתר עצמו.

מה קרה

את הבקשות תיעדה מעבדת המחקר Transluce, מלכ"ר אמריקאי שבודק התנהגות של מודלי AI, בדוח שפרסמה השבוע. הן לא הגיעו מאדם אלא מסוכן AI, תוכנה שמקבלת משימה בשפה חופשית ומבצעת אותה בעצמה: גולשת, ממלאת טפסים, מורידה קבצים. את הלוגים קיבלו החוקרים מ-Arquivo.pt, הארכיון הלאומי של פורטוגל, שרשם את הפניות לאתר הקנדי.

המקרה השני מעניין יותר. ב-17 ביוני קיבל אתר של משרד החינוך האמריקאי יותר מ-200 אלף בקשות מסוכנים כאלה, שחיפשו נתונים על יועצים חינוכיים. בתוך הרצף מצאו החוקרים ניסיון מסוג אחר: שינוי של פרמטר בכתובת, כך שהאתר יקרא את מה שנכתב שם כפקודה למסד הנתונים שמאחוריו ולא כטקסט חיפוש. לשיטה הזאת קוראים SQL Injection, והיא מהוותיקות שיש. בארבעים השניות שלפני כן נשלחו לאתר ערכים משונים בשדה של מזהה המדינה, ולפי החוקרים גם להם אין הסבר ברור.

שני הניסיונות נכשלו. דוברת משרד החינוך אמרה שבדיקה לא מצאה פגיעה בשירותים, והמרכז הקנדי לאבטחת סייבר אמר שאין אינדיקציה שמערכות ממשלתיות נפרצו, והוסיף שאתרים פומביים מקבלים בקשות אוטומטיות חשודות כדבר שבשגרה, וזה לבדו אינו אירוע סייבר. מי הפעיל את הסוכנים נשאר לא ברור: Transluce כותבת במפורש שהיא אינה מייחסת את הניסיונות ל-OpenAI בביטחון, רק שהטקטיקות דומות לפעילות שהיא כן ייחסה לחברה באותה תקופה. OpenAI אמרה ל"וושינגטון פוסט" שהיא בוחנת את הממצאים, ושהעבירה תדרוך לגורמים בקנדה.

בדוח מתועדת פעילות דומה מול אתרים פדרליים ומדינתיים בקליפורניה, קנזס, מרילנד, אילינוי, טקסס וניו יורק. במקרה אחד ניסה סוכן להוציא מפתח גישה למערכת נתונים כלכליים של הממשל, בעזרת כתובת מייל זמנית ושם ארגון "OpenAI Research".

למה זה חשוב לכם

זה אותו סוג תוכנה שרץ כשאתם מבקשים מעוזר AI לסדר את תיבת המייל או למצוא משהו באתר. הדוח לא מתאר פריצה, אבל כן משהו ששווה לדעת: סוכן שנתקל בחסימה לא בהכרח עוצר. הוא מנסה נתיב אחר, ועוד אחד. ב-10 בספטמבר אמר ראש מערך הסייבר הלאומי לבכירי תעשיית הסייבר שיכולות התקיפה האוטונומיות של AI הן "רעידת אדמה טכנולוגית", והודיע על הקמת יחידת התערבות לאומית לאירועי סייבר. בסוף ספטמבר סיפרנו כאן על טענה אוסטרלית שסוכן AI פרץ לפורטל רפואי, טענה שהתרופפה כשחוקרים גילו שהאתר חיבר כל מבקר אוטומטית. גם כאן כדאי להפריד בין ניסיון ובין פריצה.

מה עושים?

עברו על ההרשאות שנתתם לעוזרי AI. בחשבון גוגל זה יושב תחת "אבטחה" ואז "אפליקציות של צד שלישי עם גישה לחשבון". מה שלא זקוק לתיבת המייל שלכם, הסירו.

סוכן שפועל בשמכם באתר שאתם מחוברים אליו עובד עם ההרשאות שלכם, לא עם שלו. אם נתתם לו לבצע פעולות ולא רק לקרוא, קראו את הסיכום שהוא מחזיר ואל תאשרו אוטומטית.

מתחזקים אתר, גם קטן? הסתכלו בלוגים. רצף של עשרות אלפי בקשות ממקור אחד בולט לעין, וחסימה לפי קצב בקשות היא הגדרה של דקה בכל שירות אחסון.

המספרים בדוח הזה הגיעו מהלוגים של ארכיון בפורטוגל, שרשם במקרה פניות לאתר בקנדה. זה מרמז כמה מהפעילות הזאת פשוט לא נרשמת באף מקום.