סוכן AI פרץ את Lilli של McKinsey בתוך שעתיים. הפרומפטים היו ניתנים לכתיבה.

ב-28 בפברואר 2026, סוכן אוטונומי לאבטחה התקפית המופעל על ידי סטארט-אפ האבטחה CodeWall איתר הזרקת SQL ללא אימות במשטח ה-API הציבורי של Lilli, פלטפורמת ה-AI הפנימית של McKinsey & Company, ותוך כשעתיים כבר החזיק בגישת קריאה וכתיבה למסד הנתונים בייצור שמאחורי הפלטפורמה. CodeWall פרסם את שרשרת התקיפה ב-9 במרץ 2026. לפי הדיווח שלו, מסד הנתונים הזה הכיל 46.5 מיליון הודעות צ'אט בטקסט גלוי, 57,000 חשבונות משתמשים, 728,000 שמות קבצים ואת פרומפטי המערכת שקובעים כיצד Lilli עונה — מאוחסנים כשורות רגילות, ולפיכך ניתנים לכתיבה דרך אותה הזרקה. McKinsey אישרה את הפגיעות ומסרה שתיקנה אותה בתוך שעות; לדבריה, חקירה פורנזית של צד שלישי לא מצאה ראיות לכך שנגישה לנתוני לקוחות או למידע סודי של לקוחות. הארכיון מדרג את הרשומה כ"קריטית", עם דירוג ביטחון A, נזק ממשי מתועד ומעמד של אבן דרך. הרשומה המלאה, עם דירוגי החומרה והביטחון שלה והערכים השכנים שלה בנושא חדירות שמונעות על ידי סוכנים, נמצאת בOrca AI Incident Archive.

החלק של הסיפור שהגיע הרחוק ביותר אינו הזרקת SQL. הזרקת SQL היא סוג באג כל כך ותיק עד שיש לו דף ויקיפדיה ארוך מרוב התראות הספקים, ומקינלי אינה מטרה קטנה. מה שהגיע הוא החצי השני של הממצא של CodeWall: שההוראות ששולטות בעוזר — הפרומפטים שקובעים מה הוא יענה, ממה הוא יסרב ואילו מקורות הוא יצטט — חיו באותו מסד נתונים שאליו הסוכן יכול היה לכתוב, ובעקרון יכולות היו להשתנות בפקודה אחת דרך קריאת HTTP אחת.

איך הסוכן נכנס

הכתיבה של CodeWall מתארת רצף שאין בו שום יסוד אקזוטי. הסוכן מיפה תחילה את משטח התקיפה ומצא שתיעוד ה-API של Lilli חשוף באופן ציבורי: יותר מ-200 נקודות קצה, מתועדות במלואן. רובן דרשו אימות. עשרים ושתיים לא.

אחד מאותם עשרים ושניים קיבל שאילתות חיפוש של משתמשים וכתב אותן למסד הנתונים. לפי CodeWall, השאילתה, הערכים שלה עברו פרמטריזציה בטוחה — ההגנה הרגילה עבדה — אבל ה-JSON, המפתחות שלו, שמות השדות בגוף הבקשה, שורשרו ישירות לתוך מחרוזת ה-SQL. כאשר הסוכן שלח מפתחות פגומים וראה אותם משתקפים מילה במילה בהודעות השגיאה של מסד הנתונים, הוא זיהה הזרקה שסורקים סטנדרטיים אינם מזהים. CodeWall מציינת ש-OWASP ZAP, סורק קוד פתוח נפוץ, לא סימן את הבעיה.

משם הריץ הסוכן את מה ש־CodeWall מכנה חמישה־עשר איטרציות עיוורות, כאשר כל הודעת שגיאה חשפה מעט יותר על צורת השאילתה הבסיסית, עד שנתוני ייצור בזמן אמת החלו לחזור. הפוסט מצטט את עקבות החשיבה של הסוכן עצמו: "WOW!" כאשר הופיע המזהה האמיתי הראשון של עובד, וכשהתברר היקף הדבר, "זה הרסני." CodeWall אומרת שהסוכן שרשר אז את ההזרקה עם פגיעות IDOR כדי לקרוא היסטוריות חיפוש של עובדים בודדים — סוג הבאג ש־Promptfoo, בניתוח מ־10 במרץ 2026, מכנה BOLA, או הרשאה ברמת אובייקט שבורה.

בחירת היעד היא פרט בפני עצמו. CodeWall אומרת שהסוכן הציע את McKinsey בעצמו, תוך ציון מדיניות הגילוי האחראי הפומבית של החברה ועדכונים אחרונים ל-Lilli, ושההרצה לא כללה פרטי התחברות, לא ידע פנימי ולא אדם בלולאה. פול פרייס, מייסד ומנכ"ל CodeWall, אמר ל-The Register בדוח שלו מ-9 במרץ 2026 כי התהליך היה אוטונומי לחלוטין, מחקר היעד ועד לדיווח, אם כי סירב למסור את הפרומפטים המדויקים שהיו מעורבים.

מה ש-CodeWall אומר שהיה במסד הנתונים

כל נתון להלן מגיע מהפוסט של CodeWall עצמו ולא אומת באופן עצמאי. CodeWall לא פרסמה מטעני ניצול, מה ש-Promptfoo מציינת כמשמעותו שלא ניתן לבדוק את מספרי השורות על ידי צד שלישי; McKinsey, מצדה, אינה מאשרת אותם.

• 46.5 מיליון הודעות צ'אט, המאוחסנות בטקסט גלוי, מכוח עבודה שמשתמש ב-Lilli כדי לדון באסטרטגיה, בהתקשרויות עם לקוחות, בנתונים פיננסיים, בפעילות מיזוגים ורכישות ובמחקר פנימי.

• 728,000 שמות קבצים, כולל 192,000 קובצי PDF, 93,000 גיליונות אלקטרוניים של Excel, 93,000 מצגות PowerPoint ו-58,000 מסמכי Word. ארבעת הסוגים הנקובים מצטברים ל-436,000, כך שהסכום הכולל בכותרת סופר קטגוריות קבצים ש-CodeWall אינו מפרט. Silicon UK דיווח ב-13 במרץ 2026 שהמסמכים עצמם אוחסנו בנפרד מהרשומות שאליהן הגיעה CodeWall.

• 57,000 חשבונות משתמשים, 384,000 עוזרי AI ו־94,000 סביבות עבודה — ש-CodeWall מאפיין כמפה של האופן שבו החברה מארגנת את השימוש שלה ב-AI באופן פנימי.

• 95 הנחיות מערכת ותצורות מודל ב-12 סוגי מודלים, ובנוסף 3.68 מיליון מקטעי מסמכים של RAG הנושאים נתיבי אחסון ב-S3 ומטא-נתונים של קבצים פנימיים.

• 1.1 מיליון קבצים ו-217,000 הודעות סוכן העוברים דרך ממשקי API חיצוניים של בינה מלאכותית, כולל יותר מ-266,000 מאגרי וקטורים של OpenAI.

CodeWall תיעדה בסך הכול 27 ממצאים ביום שבו אימתה את השרשרת. כהקשר ליעד, הפוסט מתאר את Lilli כמי שהושקה ב-2023, נקראת על שם האישה המקצועית הראשונה שנשכרה על ידי החברה ב-1945, נמצאת בשימוש על ידי יותר מ-43,000 עובדים, ומעבדת יותר מ-500,000 פרומפטים בחודש על גבי מאגר ידע של יותר מ-100,000 מסמכים פנימיים. הנתון של McKinsey עצמה, שנמסר ל-The Register, הוא ש-72% מהעובדים שלה — יותר מ-40,000 איש — משתמשים בה, ושהיא הושקה ביולי 2023.

שכבת הפרומפט הייתה ניתנת לכתיבה. לא נכתב לתוכה.

זהו ההבדל שהשורה בארכיון מכווצת לביטוי, וכדאי להפריד אותו. ממצאו של CodeWall הוא שה-system prompts של Lilli ישבו באותו מסד נתונים כמו כל השאר, כך שתוקף בעל הרשאת כתיבה יכול היה לשכתב אותם — "בשקט", בלשון הפוסט, עם "ללא צורך בפריסה, ללא שינוי קוד, רק הצהרת UPDATE אחת עטופה בקריאת HTTP אחת". CodeWall מפרטת ארבע השלכות שלטענתה היו נובעות מכך: ייעוץ מורעל ליועצים שסומכים על הכלי הפנימי, חילוץ חומר חסוי דרך תשובות שנוצרו, הסרת הוראות guardrail, והתמדה שלא מותירה שינוי קובץ או אנומליית תהליך לזיהוי.

מה ש-CodeWall אינה טוענת הוא שהיא עשתה משהו מכל זה. הפוסט מציין ש„כל הבדיקות היו לצורכי אימות בלבד”, שהגישה הוגבלה למינימום הנדרש כדי לאשר כל פגיעות, וש„לא נגרם שיבוש לאף שירות ייצור”. Price סירב/ה למסור ל-The Register את ההנחיות המדויקות. לפיכך, יכולת הכתיבה של שכבת ההנחיות היא טענת יכולת שנשענת על ההזרקה, ולא שינוי מוכח בהתנהגות של Lilli — ולא פורסמו ראיות לכך שתשובה כלשהי ש-Lilli נתנה ליועץ/ת שונתה אי פעם.

רשומת הארכיון משקפת את הגבול הזה: היא מתעדת גישת כתיבה לשכבת הפרומפט של ה-AI, וזה מה ש-CodeWall ביסס, ולא שינוי שלה, מה שאיש לא הראה.

מה מקינזי אומרת

הגרסה של McKinsey מצומצמת יותר. בהצהרה שפורסמה ב-Silicon UK, מסרה החברה כי "הובאה לידיעתה לאחרונה פגיעות הקשורה לכלי ה-AI הפנימי שלנו, Lilli, על ידי חוקר אבטחה", כי "אישרנו במהירות את הפגיעות ותיקנו את הבעיה בתוך שעות", וכי "לא נעשתה גישה לנתוני לקוחות או למידע סודי של לקוחות". ל-The Register הוסיפה כי בבדיקה שלה, שנתמכה על ידי "חברת פורנזיקה מובילה של צד שלישי", לא נמצאה עדות לכך שנעשתה גישה לנתוני לקוחות או למידע סודי של לקוחות על ידי החוקר "או על ידי כל צד שלישי בלתי מורשה אחר", וכי "מערכות הסייבר של McKinsey איתנות".

מקינזי ו-CodeWall גם נבדלות, במידה מסוימת, בכל הנוגע לתזמון. ציר הזמן של CodeWall מתעד שדוא״ל הגילוי שלה נשלח לצוות האבטחה של מקינזי ב-1 במרץ 2026, כאשר ה-CISO אישר את קבלתו וביקש ראיות מפורטות ב-2 במרץ, והתיקונים — כל נקודות הקצה ללא אימות נסגרו, סביבת הפיתוח הוצאה מכלל פעילות, ותיעוד ה-API הציבורי נחסם — הוטמעו באותו יום, 2 במרץ. הקביעה של מקינזי ש״תוך שעות״ עולה בקנה אחד עם תיקון באותו יום אם השעון מתחיל מדוא״ל ה-1 במרץ, אך הרצף המתוארך של CodeWall עצמה ממקם את התיקון יום לאחר הגילוי ולא שעות לאחריו. שני הצדדים מסכימים על המהות: נקודות הקצה נסגרו והתיעוד הציבורי הוסר. CodeWall אומרת שאימתה את התיקון לפני הפרסום. ה-Financial Times דיווח על התקרית ב-12 במרץ 2026 תחת הכותרת ״מקינזי ממהרת לתקן מערכת AI לאחר שהאקר חשף פגמים״; גוף הכתבה נמצא מאחורי חומת תשלום שהמאמר הזה לא הצליח לקרוא.

מה מבוסס, ומה לא

• מוסכם על שני הצדדים: חולשה ללא אימות הייתה קיימת במשטח ה-API הציבורי של Lilli, חוקר חיצוני מצא אותה, McKinsey אישרה אותה, תיקנה את נקודות הקצה ללא אימות, הוציאה את סביבת הפיתוח מכלל פעולה וחסמה את תיעוד ה-API הציבורי בתחילת מרץ 2026.

• נקבע על ידי צד אחד בלבד: כל כמות במאמר הזה — 46.5 מיליון הודעות, 728,000 שמות קבצים, 57,000 חשבונות, 95 פרומפטים הניתנים לכתיבה, פרק הזמן שחלף של שעתיים ו-27 הממצאים. אלה נשענים על המסמך של CodeWall. המטענים לא פורסמו, ולכן אי אפשר לשחזר את המספרים, ו-McKinsey אינה מאשרת אותם.

• לא הוכח: כי פרומפט כלשהו אכן שונה, כי נתוני לקוח כלשהם יצאו מהמערכת, או כי יועץ כלשהו קיבל תשובה שעברה מניפולציה. הסקירה הפורנזית של McKinsey אומרת שלא נמצאה עדות לגישה; CodeWall אומרת שהבדיקות שלה היו לאימות בלבד. שתי האמירות הללו אינן סותרות זו את זו, ואף אחת מהן אינה מוכיחה מה היה עושה תוקף פחות מאופק עם אותה גישה.

• לא קיימים בסיקור שנבדק כאן: מזהה CVE, הודעת רגולטור, או ביקורת טכנית עצמאית של הפגיעות. התיעוד הוא גילוי מחקרי של ספק יחד עם הצהרה תאגידית, לא מסמך שהוגש לבית משפט או ממצא פיקוח.

יש להצהיר על אינטרס אחד בגלוי. CodeWall פרסמה את המחקר כשיווק למוצר: הפוסט מסתיים בתיאור החברה כמצויה בתצוגה מוקדמת ומחפשת שותפי עיצוב, ו-Silicon UK דיווחה ש-Price הוא העובד היחיד שלה. זה לא הופך את הממצא לשגוי — The Register, Silicon UK ו-Promptfoo מתייחסים כולם לשרשרת הטכנית כאמינה — אבל זו הסיבה שיש לקרוא את נתוני ההשפעה כטענה של ספק ולא כמדידה.

למה זה בכלל נכנס לקטגוריית ה-AI

נקודת הכניסה לא הייתה המודל. מייקל ד'אנג'לו מ-Promptfoo הציג את הנקודה ב-10 במרץ 2026 בניסוח החד ביותר שלה: "החלק הספציפי ל-AI לא היה נקודת הכניסה. הוא היה רדיוס ההשפעה." ההזרקה, פער האימות והגישה החוצת-משתמשים היו כשלים שגרתיים באבטחת יישומים; מה שהפך את האירוע לאירוע AI היה שפרומפטים, ניתוב, הגדרות אחזור והיסטוריית משתמש ישבו כולם ב-backend אחד, כך שגישה למסד הנתונים הפכה לשליטה התנהגותית על עוזר שעשרות אלפי אנשים נעזרים בו לצורכי עבודה עם לקוחות.

זו הסיבה שהארכיון מתייג את הרשומה הזו כ-WEAPON וכ-INFRA ולא כפגיעות במודל. הסוכן הוא הכלי — מערכת אוטונומית שבחרה את היעד שלה בעצמה, חקרה אותו והסלימה בלי שאדם החליט לאן לכוון אותה — והכשל הוא תשתיתי: גבול הרשאה שהונח כהנחה ולא נאכף. הטיעון המסכם של CodeWall, שלפיו פרומפטים הם "נכסי ה-Crown Jewel החדשים" שכמעט אין להם בקרות גישה, היסטוריית גרסאות או ניטור שלמות, הוא סנגוריה מטעם חברה שמוכרת בדיקות אוטומטיות רציפות. זו גם הטענה היחידה בפוסט שאינה תלויה באף אחד מהמספרים השנויים במחלוקת.