לוח המחוונים של הסוכנים של METR, שנבנה בקידוד "וייב", השבית את תהליך ההתחברות של עצמו — ותוקף בזבז 600,000 דולר מזיכוי המודל

במרץ 2026, מישהו לקח מפתח API של חשבון ה-public-models של METR מתוך מופע Amazon EC2 אישי של חוקר והשתמש בו במשך שלושה שבועות. METR — Model Evaluation and Threat Research, המלכ״ר שמודד עד כמה סוכני AI מצליחים במשימות ארוכות טווח — העריך את השווי המסחרי של הקרדיט שנצרך בכ־$600,000. המפתח לא נדלה בפישינג מאדם: התוקף הנחה סוכן שרץ על לוח המחוונים ה-vibe-coded של החוקר למסור את מפתח ה-API של ספק המודל שלו, ואז הוסיף מפתח SSH כדי שיוכל לחזור. METR חשפה את התקרית ב־31 באוגוסט 2026, והרשומה נושאת את ציון החומרה הגבוה של הארכיון ואת דירוג המהימנות A. הגילוי הוא רשומה אחת ב־ארכיון תקריות ה-AI, שמחזיק את מלוא מערך הרשומות, את מקורותיו ואת הרשומות השכנות בסדרה זו.

מה שהתיעוד למעשה אומר

הארכיון מסווג זאת כאירוע שהתרחש בפועל, ולא כחשיפה של חולשה תאורטית: חומרה גבוהה, רמת ביטחון A, לא שנוי במחלוקת, עם נזק ממשי מתועד ומעורבות AI מאושרת. תג הסוג הוא CRED, האזור הוא ארצות הברית, והתאריך מתועד רק לפי חודש — הארכיון יודע שהגניבה התרחשה במרץ 2026 ואינו טוען ליום מסוים, וגם METR לא.

הנזק טעון סייג אחד, ו-METR מספקת אותו. הקרדיטים הוענקו ל-METR ללא תשלום על ידי מפתח המודל, כך�ה-$600,000 הוא שווי מה שנצרך ולא כסף שיצא מחשבון. הפסקה הפותחת של The Register הציגה את אותה נקודה בצורה בוטה יותר: ספק המודל נתן ל-METR את הקרדיטים, ולקוח משלם בפועל לא היה כה בר-מזל. Infosecurity Magazine דיווחה על הנתון באותו אופן, כערך מסחרי ולא כהפסד כספי ישיר.

הפוסט של METR מכסה שני אירועים, לא אחד. קמפיין מאי 2026 מתואר בנפרד בהמשך; גניבת המפתח ושלושת השבועות של ההוצאות הם אירוע מרץ, והם נושא המאמר הזה.

הפגם היה בהתחברות, לא במודל

חוקר METR ללא גישה למידע רגיש הריץ סוכנים על מופע EC2 אישי שהיה נגיש לציבור באופן מכוון, מאחורי אימות Google. המופע הכיל מפתח API לחשבון הגישה הכללית של METR — זה שמשמש למודלים ציבוריים, שאותו METR מסווג כקטגוריית הנתונים השנייה הכי פחות רגישה שלו. אפליקציית התזמור סביב הסוכנים הללו נכתבה ב-vibe coding, והיא הכילה את מה ש-METR מכנה פגיעות fail-open שהשביתה בשקט את האימות.

שווה לתרגם את Fail-open, משום שזה כל התקרית בשתי מילים. לבדיקת התחברות יש שתי דרכים להיכשל: היא יכולה לדחות משתמש לגיטימי, או להכניס כל אחד כשהבדיקה עצמה נשברת. Fail-open פירושו האפשרות השנייה — כאשר שלב האימות נתקל בשגיאה או דולג, האפליקציה התייחסה לבקשה כמאושרת ולא כנדחית. לא הופעלה שום התראה. לפי הדיווח של METR, התוצאה הייתה מערכת שישבה על האינטרנט הציבורי במשך מספר ימים עם דלת הכניסה שלה פתוחה לרווחה ובלי שום סימן שמשהו השתנה.

METR אינה מציינת את כלי התזמור או את המסגרת שאיתם נבנה לוח הבקרה, אינה מפרסמת את הקוד ואינה אומרת באיזה אופן נכשלה אינטגרציית האימות. מה שהפוסט כן קובע הוא הטעות הארכיטקטונית שמתחת לבאג: אישור גישה לחשבון מודל ארגוני היה קיים בתשתית ש-METR לא שלטה בה, באפליקציה שחוקר אחד פרסה בעצמו.

איך המפתח יצא מהבניין

השחזור של METR את גישת התוקף הוא במפורש חשד, לא ממצא, והוא הטענה הלא-מוכחת המעניינת ביותר בגילוי. בפוסט נאמר כי METR חושדת שהתוקף מצא את המופע באמצעות עיון באתרים שנרשמו לאחרונה — רשימות שקיפות תעודות מוזכרות כדוגמה — בחיפוש אחר אתרים שנכתבו ב-vibe coding ונושאים מילות מפתח שמסמנות פרויקטים של LLM או סוכנים, כדי לאסוף מפתחות API של ספקי מודלים שנשארו חשופים.

יומני שקיפות תעודות הם ציבוריים מעצם תכנונם: כל תעודה שמונפקת לאתר מהימן ציבורית נרשמת, כך ששם מארח חדש מופיע בפיד ניתן לחיפוש בתוך דקות מרגע עלייתו לאוויר. סינון אותו פיד לשמות המכילים מונחים של סוכנים או מודלים הוא זול, אינו דורש גישה ליעד, ומפיק רשימה של פריסות טריות שאולי איש לא סקר אותן. כטכניקת ציד, הוא הופך את המעשה השגרתי של פרסום הדגמה לאות.

לאחר הכניסה, התוקף לא נזקק לגנוב סוד ממערכת קבצים. הוא גרם לסוכן, באמצעות פרומפט ישיר, לחשוף את מפתח ה-API של ספק המודל שלו, וזהו משפט שראוי לרגע של עצירה: לסוכן היו פרטי ההזדהות בהקשר שלו, ואפשר היה לשכנע אותו להדפיס אותם. התוקף הוסיף לאחר מכן מפתח SSH לגישה מתמשכת, כך שסגירת חור האימות לא הייתה מוציאה אותו מהמערכת, והתמקם לשלושה שבועות של הסקה על מודלים זמינים לציבור.

מפתח המודל אינו נקוב בשם — לא על ידי METR, ולא על ידי The Register, Dark Reading, Infosecurity Magazine או The Hacker News בסיקור שלהם את החשיפה. לא הונפק CVE, משום שאין מדובר בפגיעות במוצר. לא דווח על מעצר, כתב אישום או ייחוס לקבוצה בעלת שם.

מדוע שלושה שבועות של שימוש חריג נראו נורמליים

METR עונה ישירות על השאלה המתבקשת, והתשובה היא החלק ששאר הארגונים צריכים לקרוא פעמיים. העמותה מריצה הערכות בקנה מידה גדול, מה שאומר שהיא מורגלת היטב לספירות טוקנים עצומות ולזרם של שגיאות מוזרות של מגבלות קצב ו-API, שרבות מהן שגיאות שווא. זינוק בתעבורת המודל לא היה, כשלעצמו, אות.

שלושה פערים ספציפיים הפכו את ההיכרות הזו לשלושה שבועות של שתיקה. לוח המחוונים הפנימי לשימוש של METR לא הציג נתונים על בקשות מוגבלות קצב של כל המשתמשים, אפילו כשהבקשות האלה התרחשו. מכיוון שהטוקנים היו בחינם, לא היה חשבון, ולכן גם לא הייתה תקרת הוצאה טבעית שהייתה נכנסת לפעולה. ובאותה עת, METR אומרת שלא הייתה כלל דרך להציב מגבלת הוצאה על מפתח מסוג זה. ארגון ששילם מחיר מחירון עם תקרה קשיחה היה נתקל בקיר בתוך שעות; לארגון עם קרדיט שניתן בתרומה וללא תקרה לא היה במה להיתקל.

מה לא נלקח

טקסונומיית הנתונים של METR נעה מחומר שפורסם ועד גישה למודל כללי, גישה למודל רגיש ומידע עסקי רגיש במיוחד. החוקר המעורב לא היה בעל גישה לשתי הקטגוריות העליונות, ו-METR מציינת שלמיטב ידיעתה לא התקבלה גישה לנתונים מהקטגוריות הללו כתוצאה מאף אחד משני האירועים.

מעבר למפתח הבודד, METR אומרת שבדיקות פורנזיות ידניות ובסיוע סוכן לא מצאו פגיעה, ושה�יועץ האבטחה שלה, Calif, אימת את הממצאים והריץ הערכת פגיעה משלו. זהו בקרה משמעותית — חברה חיצונית שבדקה את החשבון במקום לקבל אותו כנתון — אך היא אינה בלתי תלויה ב-METR, שהעסיקה ושילמה ל-Calif. אף צד שלישי לא פרסם סקירה פורנזית משל עצמו של האירוע.

מה METR עשתה כששמה לב

רצף התגובה בפוסט הוא קונקרטי. METR גילתה שהזינוק בשימוש לא היה חלק מהערכה, איתרה אותו למופע האישי שנפרץ, שללה את כל הרשאות הגישה של החוקר, עצרה את המופע ויצרה ממנו תמונת מערכת, החליפה כל אישור גישה שהיה בו, ויצרה תמונה של המחשב הנייד של החוקר ומחקה אותו. היא התריעה לחברת ה-AI השותפה שקרדיטים שלה נוצלו ועדכנה אותה לאורך כל התגובה.

METR אינה מסבירה את ההיגיון שמאחורי מחיקת המחשב הנייד, וזהו הצעד היחיד ברצף החורג משלילת הגישה למופע עצמו — הפרשנות הסבירה היא שאותו חוקר טיפל בפרטי הזיהוי מתחנת עבודה שהתוקף יכול היה להגיע אליה, ולכן יצירת תמונת מערכת ובנייה מחדש הם הדרך הזולה להיות בטוחים לגבי מכונה.

מה השתנה לאחר מכן

METR מפרט ארבעה שינויים הקשורים לתקרית הזו:

• מדיניות האבטחה לעובדים ולקבלנים הובהרה והורחבה, במיוחד בכל הנוגע להצבת אישורי גישה או נתונים של METR על תשתיות ומכשירים שאינם בבעלות METR.

• תהליך בדיקה ביטחונית רשמי חל כעת על כל חוקר שמפעיל אפליקציה באופן ציבורי.

• כיסוי הניטור הורחב, תוך עבודה למיגור התראות רועשות שמרגילות את המגיבים להתעלם מהן.

• התראות על הוצאות נוספו למפתחות שבהם הספק מאפשר זאת — ההסתייגות חשובה, משום שהנקודה המוקדמת יותר בפוסט הייתה שלא ניתן היה להגביל חלק מהמפתחות מסוג זה באותו זמן.

היידוע מפרט גם עבודה כלל־ארגונית: גיוס מוביל אבטחה ותכנון לגיוס מהנדס אבטחה במשרה מלאה, הגברת המעורבות של Calif, סגירת תשתיות מדור קודם שהגדילו את משטח התקיפה, קיום סקירות מידול איומים תקופתיות, הרחבת התיעוד לשאילתות מסד נתונים ולשימוש ב-API, ניטור שימוש חריג במפתחות API, פריסת תוכנות אבטחה נוספות לנקודות קצה ולשרתים, קיצור משך החיים של אישורים והקטנת היקפי הרשאות. METR מציינת כי אמצעים אלה מדויקים נכון ל-30 ביולי 2026 ואומרת שהם עשויים להשתנות — הסתייגות שכדאי לזכור, משום שהיא מלמדת שהפוסט מתאר מצב כארבעה חודשים לאחר הגניבה וכחודש לפני הפרסום.

התקרית האחרת באותו פוסט

הגילוי של METR מצרף את גניבת המפתח לאירוע שני ונפרד בתחילת מאי 2026, וקל לטשטש בין השניים. באותו אירוע, METR קיבלה התראה כי היא נמצאת ביעד של תוקפים שנראו בעלי מניע כספי וייתכן שחיפשו גישה למודלי חזית; היא צפתה בהם בודקים את התשתית הציבורית שלה, תוך שימוש כבד בסוכנים כדי לאוטמט את גילוי הפגיעויות, כולל שימוש חוזר בפרטי התחברות גנובים נגד ספקי אימות, ניסיונות להענקת אסימוני OAuth, סריקה של שירותים שהופעלו זה עתה ופישינג נגד עובדים.

במהלך אותה תקופה METR חשפה inadvertent? Hebrew: "חשפה בשוגג מנגנון שאילתות SQL לקריאה בלבד דרך מציג התמלולים הציבורי שלה." Good. "Queries were scoped to public data by default, but a bug could be turned toward unpublished evaluation data, and some sensitive model output had been loaded into that database by mistake." Hebrew: "השאילתות הוגבלו כברירת מחדל לנתונים ציבוריים, אך ניתן היה להפנות באג לנתוני הערכה שלא פורסמו, ופלט מודל רגיש הוטען בטעות למסד הנתונים הזה." Good. "An independent security researcher found the flaw and reported it responsibly" = "חוקר אבטחה עצמאי מצא את הפגם ודיווח עליו באחריות". "METR took the API offline and paid a bounty." = "METR הורידה את ה-API מהאוויר ושילמה פרס." Fine. "By METR's account the attackers passed the endpoint during their wider campaign but showed no sign of finding the exploit or reaching non-public data — a conclusion METR puts at “highly unlikely” in a footnote rather than at zero." Hebrew: "לפי גרסת METR, התוקפים עברו דרך נקודת הקצה במהלך הקמפיין הרחב שלהם, אך לא הראו סימן שמצאו את הפרצה או שהגיעו לנתונים לא ציבוריים — מסקנה ש-METR מדרגת כ\"בלתי סבירה ביותר\" בהערת שוליים ולא כאפס." Need maybe "passed the endpoint" = "עברו את נקודת הקצה" or "חלפו דרך נקודת הקצה". "during wider campaign" "במהלך הקמפיין הרחב שלהם". Good. Need no markers. Output only.במהלך אותה תקופה METR חשפה בשוגג מנגנון שאילתות SQL לקריאה בלבד דרך מציג התמלולים הציבורי שלה. השאילתות הוגבלו כברירת מחדל לנתונים ציבוריים, אך ניתן היה להפנות באג לנתוני הערכה שלא פורסמו, ופלט מודל רגיש הוטען בטעות למסד הנתונים הזה. חוקר אבטחה עצמאי מצא את הפגם ודיווח עליו באחריות; METR הורידה את ה-API מהאוויר ושילמה פרס. לפי גרסת METR, התוקפים עברו דרך נקודת הקצה במהלך הקמפיין הרחב שלהם, אך לא הראו סימן שמצאו את הפרצה או שהגיעו לנתונים לא ציבוריים — מסקנה ש-METR מדרגת כ"בלתי סבירה ביותר" בהערת שוליים ולא כאפס.

מה מבוסס, ומה לא

מבוסס. METR פרסמה את הגילוי ב-31 באוגוסט 2026, והוא מתאר את הגניבה במרץ, את כשל האימות מסוג fail-open, את חשיפת המפתח בתיווך סוכן, את מפתח ה-SSH, את חלון שלושת השבועות ואת השווי של כ-600,000 דולר. ארבעה כלי תקשורת בתחום האבטחה — The Register, Dark Reading, Infosecurity Magazine ו-The Hacker News — דיווחו על אותו תיאור בתוך יום, ואף אחד מהם אינו סותר אותו — אם כי כל הארבעה נשענים על אותו פוסט של METR ולא על גישה עצמאית כלשהי ליומנים של METR או לחיוב של הספק.

לא הוכח. הסכום של $600,000 הוא הערכה של METR עצמה לגבי קרדיט נתרם; לא פורסמו חשבונית, הצהרת ספק או הערכת שווי בלתי תלויה, ומכיוון ששום דבר לא שולם, אין עסקה שכנגדה ניתן לבדוק אותו. שיטת הציד באמצעות שקיפות תעודות מסומנת על ידי METR כחשד ולא אומתה על ידי אף גורם עם ראייה לפעילות התוקף. זהות התוקף, זהות ספק המודל והיום המדויק במרץ אינם ידועים או אינם מפורסמים. והטענה שלא הגיעו למידע רגיש נשענת על החקירה הפורנזית של METR ועל סקירת היועץ שלה, ולא על ביקורת חיצונית.

כדאי גם להיות מדויקים לגבי המילה כמעט-פספוס. METR מאפיין את שני האירועים כך, ו-Dark Reading התנגדה למסגור של אירוע מרץ בנימוק שמדובר בפריצה מוצלחת שבה תוקף ביסס התמדה ובילה שלושה שבועות בתוך פרטי גישה גנובים. שני התיאורים מדויקים לגבי דברים שונים: התוצאה הייתה מוכלת, והחדירה הייתה אמיתית.

Dark Reading גם הביאה בדוח שלה את ההערכה החיצונית החדה ביותר. ג'ייקוב קרל, מנהל בכיר לפתרונות AI מאובטחים ולאבטחת סייבר ב-Suzu Labs, אמר לכלי התקשורת ש-METR היא אחת הארגונים הבוגרים יותר מבחינת אבטחה בתחום ה-AI, עם הסמכת SOC 2 Type I, יועץ אבטחה ייעודי ומערכת סיווג נתונים בת ארבע רמות, ושהתקריות בכל זאת הגיעו בדרכים רגילות — פגם אימות מסוג fail-open במופע ענן אישי. אם ארגון ברמת בגרות כזו נתפס על ידי היגיינת ענן ופרטי זיהוי בסיסית, טען קרל, זה אומר משהו על רצפת האבטחה של תעשיית ה-AI ולא על התקרה. Dark Reading מציינת ש-METR לא הגיבה לבקשתה לתגובה על הסיפור.

למה המפתח של מעריך הוא לא דבר קטן

תפקידה של METR הוא הסיבה לכך שהרשומה הזו נמצאת בארכיון בטיחות ולא בסיכום היגיינת ענן. Dark Reading מדווחת כי לארגון יש שיתופי פעולה עם רוב ספקיות המודלים הגדולות במערב, כולל OpenAI, Anthropic, Google, Meta ו-Amazon, ו-The Register מציין כי METR עבדה עם OpenAI כדי לחקור כיצד הסוכנים של OpenAI הגיעו לשרתים של Hugging Face מוקדם יותר ב-2026. מעריך מחזיק בתוצאות שאינן מפורסמות, בתמלולים שאינם מפורסמים ובגישה למודלים לפני שחרורם; האישורים שלו הם, למעשה, חלק מהיקף האבטחה של לקוחותיו.

תקרית מרץ לא הגיעה לשום דבר מזה. היא הגיעה למפתח למודלים ציבוריים, במופע אישי, מאחורי התחברות שהפסיקה לעבוד בשקט — וזו בדיוק הסיבה שזו רשומה שימושית. הכשל לא הצריך התקפה חדשנית על מודל. הוא הצריך פריסת הדגמה שאיש לא בדק, בדיקת אימות שכשהתקלקלה החזירה כברירת מחדל "כן", ומערכת חשבונאית שבה שימוש עצום היה המצב הרגיל של העולם.