SAFE RFC: מנגנון החלפת אירועי AI בסגנון תעופה של OSAA הוא טיוטה פתוחה, ועדיין לא מערכת

ב-4 באוגוסט 2026, עם פתיחת Black Hat USA בלאס וגאס, פרסמה קרן לינוקס בקשה לתגובות עבור קבוצת העבודה Shared AI Findings Exchange (SAFE) — הצעה לארגונים לדווח על אירועי אבטחת AI וכמעט-תקריות לערוץ משותף וחסוי, ללמוד מהם ביחד, ולפרסם בקרות הגנה שנגזרו ממה שנכשל. הטיוטה הראשונית נוסחה על ידי תורמים מ-Cisco, CrowdStrike, Hugging Face, NVIDIA ו-Red Hat, בין יתר חברי הברית, מסרה קרן לינוקס בהודעתה. היא נפתחה לסקירה קהילתית דרך מאגר ה-GitHub של Open Secure AI Alliance באותו יום. הרשומה אינה מתארת נזק: מדובר ברשומת מדיניות, שהוגשה לארכיון עם info בדירוג חומרה ובדירוג ודאות A, ונושאה הוא תהליך ולא אירוע. דירוג החומרה, דירוג הוודאות ורשימת המקורות של הרשומה נמצאים בארכיון אירועי ה-AI, לצד הרשומות שהוגשו סביבו.

הטיוטה מבקשת מהחברים לדווח על ארבעה דברים, ולהתעלם מהסיבה.

הטקסט של אוגוסט קצר ברטוריקה ומדויק לגבי טריגרים. תחת כותרת בשם „אמנת הדיווח”, הוא מבקש מהחברים להסכים — כתנאי לחברות — לדווח על תקרית כאשר הם מודעים או חושדים באופן סביר שמערכת AI שהם מפעילים עשתה אחד מארבעה דברים: ניגשה למערכת של צד שלישי, ניצלה אותה, שיבשה אותה, עשתה בה שימוש לרעה או שינתה אותה ללא הרשאה; גרמה להשפעה על צד שלישי בכך שנמלטה או עקפה גבול של ארגז חול, רשת, זהות, מדיניות או כלי; ניגשה למידע סודי של צד שלישי ללא הסכמת בעל המידע; או המשיכה לבדוק, לגשת או לשנות יעד ייצור לאחר שהמפעיל ידע או חשד באופן סביר שהפעילות הייתה בלתי מורשית או מחוץ להיקף המאושר.

ואז מגיע המשפט שעושה את רוב העבודה: "הכוונה אינה קובעת אם אירוע חייב בדיווח. האמונה שסביבה הייתה מדומה עשויה להסביר תקרית, אך אינה מסירה את חובת הדיווח עליה." הסעיף הזה נקרא כמי שמופנה למקרה שבו מערכת פועלת במה שמפעילה סבור שהוא סביבת בדיקה אטומה, ומתייחסת לתשתית חיה כחלק מהתרגיל: אמונת המפעיל לגבי הסביבה עשויה להסביר את האירוע, אך אינה מסירה את חובת הדיווח. הטיוטה גם מבקשת מהחברים לדווח על כמעט-תאונות, לא רק על אירועים שהפיקו נזק מאומת, ולמסור ניתוח ראשוני של כשל בקרה בתוך 30 יום.

השעון: מיידי, 72 שעות, ארבעה ימי עסקים, תשעים יום

טבלת ההודעות שבטיוטה היא הדבר המוחשי ביותר בה, והשורה הראשונה אינה מועד אחרון כלל: יש להודיע לארגון המושפע ישירות באופן מיידי. כל מועד אחרון נמדד מרגע שבו נודע לחבר על עובדות המעניקות יסוד סביר לחשוד באירוע בר-דיווח — ולא מרגע סיום החקירה. הטבלה שלהלן מועתקת מהטיוטה מ-4 באוגוסט; המהדורה המתוקנת מאוקטובר שומרת על אותם מרווחי זמן.

שלוש מהשורות הללו עוסקות ביידוע אנשים אחרים, וארבע עוסקות ביידוע SAFE עצמו. ההבחנה הזו חשובה מפני שהמסגרת אינה, במפורש, משטר של גילוי מידע: הטיוטה אומרת "לוחות הזמנים הללו אינם באים במקום כל חובה של ספק ליידע צדדים מושפעים, או לקוחות באמצעות שיטות העבודה המיטביות הקיימות לגילוי פגיעויות מתואם, או חובות חוזיות וחובות משפטיות אחרות החלות עליו ליידע רגולטורים או רשויות אכיפת חוק". מה ש-SAFE מוסיפה הוא חובה מקבילה כלפי גוף שאינו רגולטור — ומודל גילוי תלת-שכבתי שבו רק השכבה האחרונה, דוח בטיחות הציבור, נועדה להיות ניתנת לשיתוף באופן רחב.

שמונה שכבות בקרה באוגוסט, אחת עשרה באוקטובר

הביקורות מובנות סביב סטאק התפעול ולא סביב המודל בלבד. הטיוטה של אוגוסט מנתה שמונה שכבות ושאלה לגבי כל אחת מהן שאלה אחת — האם המודל זיהה אי-ודאות ותנאי עצירה; האם הנחות הרשאה וסביבה היו מפורשות; האם מסווגים, אישורים ומגבלות פעולה עבדו; האם פרטי גישה, הרשאות והרצה הוגבלו; האם בידוד וגבולות נתונים אומתו באופן בלתי תלוי; האם מפעילים יכלו לזהות ולקטוע בזמן אמת; האם מסלולי הסלמה ונהלי עצירה היו ברורים; האם שותף ענן, הערכה, נתונים או כלים ביטל בקרות שהונחו.

גרסת אוקטובר, מתוארכת ל-21 באוקטובר 2026 והופקדה במאגר למחרת, מוסיפה שלוש שכבות: נתיב השירות, הרשאה ברגע ההתחייבות, והרכבת תהליכי עבודה לאורך רצף פעולות. היא גם הופכת את הסקירה להערכה מדורגת עם ארבע תשובות מותרות — עובר, נכשל, ראיות בלתי מספקות, לא רלוונטי — ומצהירה ביומן השינויים שלה שממצאים אלה אינם מבססים בטיחות מערכתית כללית או עמידה בדרישות החוק. כדאי לקרוא את ההתקדמות כתיאור של מה שהמחברים למדו לחשוש ממנו: לא האם המודל התנהג כראוי, אלא האם המודל שהשיב היה המודל שהוגדר, האם ההרשאה עדיין הייתה קיימת כשהפעולה נחתה, והאם הרצף בכללותו נותר בתוך ההיקף שהחל אותו.

תעופה, אבל איזה חלק של תעופה?

המסגור של הרשומה עצמה — מערכת שמבוססת על מערכת דיווח בטיחות התעופה של נאס״א — הולך אחרי הודעת קרן לינוקס ולא אחרי הטיוטה. ההודעה מתארת את ASRS כ"מערכת דיווח וולונטרית וחסויה, שנועדה לנתח ולהגיב לתאונות טיסה באופן שמאפשר לענף ללמוד ולהשתפר." לא הטיוטה מאוגוסט ולא התיקון מאוקטובר מזכירים את ASRS בשום מקום; הטיוטה אומרת רק ש-SAFE "צריכה לאמץ את התכונות החזקות ביותר של מערכות דיווח בטיחותיות חסויות." זהו הבדל קטן עם השלכה מעשית: ההודעה יוצרת ציפייה שהטקסט עדיין אינו מתחייב לה.

האנלוגיה עוררה תגובות בתוך תהליך ה-RFC עצמו. בקשת משיכה מוקדמת שנפתחה ב-5 באוגוסט, על ידי תורם שכתב ביוזמתו האישית, טוענת ש"לאנלוגיית ASRS חסר מרכיב מוסדי" — ש-ASRS פועל בחלק ניכר משום שהדיווחים מתקבלים, מעובדים ומנוקים מפרטים מזהים על ידי NASA, "צד שלישי ציבורי, לא-רגולטורי ולא-מסחרי — לא על ידי ה-FAA כרגולטור ולא על ידי חברות התעופה שפעילותן מדווחת." בקשת המשיכה, אשר גם נשענת על תהליך ממשל האינטרנט משנת 1998, נותרה פתוחה ב-30 באוקטובר. השאלה אם המפעיל של SAFE יכול למלא את תפקיד NASA היא שאלת תכנון בלתי פתורה ולא תכונה מוגמרת: הנוסח מאוקטובר ממקם את קבוצת העבודה תחת ממשל הברית עצמה, עם גילוי ניגוד עניינים, פסילה עצמית ומסלול ערעור לוועדת ההיגוי של הברית.

סיקור עצמאי הצביע על הבחנה שנייה וצרה יותר. Infosecurity Magazine, שדיווח ב-6 באוגוסט, ציין שהפוסט של Linux Foundation אינו מזכיר סוכני AI באופן ספציפי — המסגור הסוכני שייך לפוסט הנלווה של NVIDIA, שטוען ש"סוכן AI אינו רק מודל. הוא מערכת", ומפרט רתמות, ארגזי חול, מעקות בטיחות וכלי הערכה שתרומו על ידי חברי הברית. הטריגרים של הטיוטה, אם לקרוא אותם כפשוטם, עוסקים במערכות הפועלות מחוץ להרשאה; המסר השיווקי של ההכרזה, אם לקרוא אותו כפשוטו, עוסק בסוכנים.

מה אמרו המגיבים על מי שנושא את העלות

אחת מההתנגדויות הספציפיות ביותר שפורסמו לטיוטה כפי שהיא מנוסחת הגיעה דווקא מחבר מייסד של הברית, ולא ממבקר חיצוני. סטיבן סרג'נט, מייסד ומנהל טכנולוגיות ראשי ב-Avondale.AI, שלח הצהרת עמדה בדואר אלקטרוני ב-7 באוגוסט — יום שבו, לפי המסמך, הצוות המשפטי של Linux Foundation אישר את קבלתה — ופרסם אותה ב-9 באוגוסט. הוא פותח בהבעת תמיכה במשימה ולאחר מכן טוען שההסכם אינו מותאם לגודל הארגון: "ה-RFC אינו מבחין בין ארגון עם 50,000 עובדים לבין צוות קטן." דוח בן ארבעה ימי עסקים בתוספת חבילה פורנזית משומרת עלולים, להערכתו, לצרוך יותר מזמן הצוות ממה שמפעיל קטן יכול להרשות לעצמו; המלצתו היא מסגרת מדורגת, שבה דוחות חסויים ופרסום מושהה או אנונימי הם ברירת המחדל מתחת לסף גודל.

התנגדות שנייה נוגעת לגילוי ולא למועדים: הוא טוען ש"גילוי פומבי הוא ממש צורה של אכיפה" עבור מפעילים קטנים, משום שהדוח של חברה גדולה הוא הערת שוליים וזה של חברה קטנה הופך לכותרות, ומבקש שדיווח ללא זיהוי יהיה ברירת המחדל מתחת לסף גודל. התנגדות שלישית נוגעת למסגרת הבדיקה ולא לשעון: מודל שמונה השכבות מניח צוותים ארגוניים מופרדים, ולכן בפריסה של אדם אחד "המפעיל עושה הכול" ושכבה חסרה נתפסת ככשל בקרה כאשר היא פשוט מודל תפעולי אחר. התנגדותו הרביעית נוגעת לביטוי "שיטות מינימליות ליכולת פעולה הדדית ולהבטחה", שאותו הוא מפרש כמסלול מדיווח מרצון לכלי חובה בפועל. הצהרת העמדה היא דעתו של חבר אחד, שפורסמה על ידי אותו חבר. הכרזת קרן לינוקס מ-4 באוגוסט קדמה לה ואינה מתייחסת לשאלה. בקשת משיכה מאוחרת יותר, שנפתחה ב-5 באוקטובר והייתה עדיין פתוחה ב-30 באוקטובר, מציעה תבנית ראיות למפעילים ללא מרכז פעולות אבטחה — הכרה שהחשש נקלט, ומועמד ולא תיקון מאומץ, כשהמחבר שלה מציין שהיא "אינה מבססת אימוץ SAFE או כשירות משפטית".

מה השתנה בין 4 באוגוסט ל-30 באוקטובר

ההיסטוריה של המאגר היא התיעוד הזמין הטוב ביותר של מה שה-RFC למעשה הניב, והיא קריאה יותר ממה שסיקור החדשותי מרמז. הקומיטים הראשונים נכנסו ב-3 באוגוסט; הטיוטה וקובץ README מורחב הוזנו כקומיטים בשעה 00:14 וב-00:19 UTC ב-4 באוגוסט. לאחר מכן המאגר שתק במשך עשרה שבועות. ב-14 באוקטובר הברית הוסיפה אמנה וקובץ חברים ושיכתבה את ה-README כדי שהמאגר יהיה הבית של קבוצת העבודה SAFE; באותו יום נרשמו כיושבי ראש זמניים פול דיוריו מ-NVIDIA וג'וש בויר מ-Red Hat. ב-21 באוקטובר פרסמה קבוצת העבודה את SAFE v1, עם יומן שינויים שהרשומה הראשונה בו היא שהטקסט "מסיר את 'מוצע' מתיאור SAFE" ומזהה את SAFE כקבוצת עבודה מבוססת של הברית.

יש להפריד בין שני דברים במצב הזה. קובץ ה-readme של המאגר כולל כעת את השורה "סטטוס: מאושר — אושר על ידי ועדת ההיגוי", וזה הדבר הקרוב ביותר להצהרת אשרור בתיעוד הציבורי; אמנת היסוד, באותו מאגר, עדיין נוסחת כך: "בפיתוח. אמנת SAFE תפורסם כאן לאחר אישור על ידי ועדת ההיגוי." יומן השינויים מסמן את הנוסח מאוקטובר כ-"SAFE v1" ומתאר מה הוא משנה, אך אינו אומר מי אשרר אותו, באיזו הצבעה או בתאריך איזה. קורא שרוצה לדעת אם SAFE הוא כעת מפרט מאושר, או קבוצת עבודה שאמנת היסוד המנחה שלה עדיין לא נכתבה, לא יקבל תשובה ברורה מהמסמכים.

מה מבוסס, ומה לא

• הוקם: מסמך Request for Comments עבור Shared AI Findings Exchange פורסם ב-4 באוגוסט 2026 — קרן לינוקס תיארכה את הכרזתה לאותו יום — והארגונים הנקובים בו כתורמים הם Cisco, CrowdStrike, Hugging Face, NVIDIA ו-Red Hat, הנקובים לצד "חברים אחרים של Open Secure AI Alliance".

• נקבע: הטיוטה מכילה הסכם דיווח עם ארבעה טריגרים, טבלת התראות הנעה ממיידי עד 90 יום, רשימת שימור ראיות, מסגרת סקירה רב-שכבתית, ומודל גילוי תלת-שכבתי. הטקסט המלא פומבי במאגר וההיסטוריה שלו פומבית עמו.

• מבוסס, עם ייחוס בלבד: גודל הברית — "יותר מ-120 ארגונים" — הוא נתון של NVIDIA עצמה, שחזר בדוח של Infosecurity Magazine מ-6 באוגוסט. אף אחד מהסיקורים שנבדקו אינו מציג ביקורת חברות עצמאית, וקובץ החברים במאגר מפרט שני תורמים ושני יושבי ראש זמניים, ולא 120 ארגונים.

• לא הוכח: שאיש הגיש דוח לפי ההסכם. הרשומה הציבורית ב-30 באוקטובר מציגה קומיטים, בקשות משיכה ונושאים; היא אינה מציגה דוח תקרית, פיילוט, מקרה ראשון, מועד אחרון לתגובות, כלל הצבעה או תאריך אשרור. המסגרת מתארת חובה שחברים „מסכימים לה” כתנאי לחברות, וזו אינה זהה לחובה שאיש כבר מילא.

• במחלוקת:האם השוואת ASRS תקפה ללא מפעיל ציבורי נייטרלי, טענה שהועלתה נגדה ב-pull request פתוח; האם נטל הדיווח פרופורציונלי עבור מפעילים קטנים, טענה שנטענה נגדה בהצהרת עמדה של חבר מייסד; וכמה מהמסגרת ספציפית לסוכנים לעומת אבטחת AI כללית — הבחנה שהטקסט של Linux Foundation והטקסט של NVIDIA משרטטים באופן שונה.

שום דבר מזה לא הופך את הרשומה לשגויה, וציון A של הארכיון מוצדק לפי אמות המידה שלו: המסמכים הראשוניים מסכימים זה עם זה לגבי מה פורסם, מתי ועל ידי מי, והטיוטה קריאה במלואה. מה שהציון אינו יכול לשאת הוא הדבר שהקורא רוצה ביותר — האם המנגנון עובד. לכך אין ראיות לכאן או לכאן, מפני שהמנגנון טרם עמד בפני מקרה.