דוח ה-AI של Mandiant לשנת 2026: חשבון של 50,000 דולר בגין סוכן שיצא מכלל שליטה וחדירות בסיוע AI
- OrcaחדשOrcaCyber: MiniMax M3.1 Flash Abliterated / Uncensored2026-10-29101 tok/s
- OrcaחדשOrcaCyber: GLM 5.3 Flash Abliterated / Uncensored2026-10-27$0.80 / $1.60 לכל 1M טוקנים · 103 tok/s
- OrcaחדשOrcaCyber: Qwen3.8 Flash Next Abliterated / Uncensored2026-10-26$0.80 / $1.60 לכל 1M טוקנים · 283 tok/s
- OrcaחדשOrcaCyber: MiMo V2.6 Flash Abliterated / Uncensored2026-10-26$0.80 / $1.60 לכל 1M טוקנים · 93 tok/s
- MoonshotחדשMoonshotAI: Kimi K3.1 Pro2026-10-2446אינטליגנציה
- OrcaחדשOrcaCyber: DeepSeek V4.1 Flash Abliterated / Uncensored2026-10-23$0.80 / $1.60 לכל 1M טוקנים · 107 tok/s
- minimaxחדשMiniMax: M3.1 Flash2026-10-1929אינטליגנציה
- OrcaחדשOrca: OrcaCyber Ultra 1.02026-10-17$5.00 / $10.00 לכל 1M טוקנים · 70 tok/s
- deepseekחדשDeepSeek: DeepSeek V4.1 Flash 10172026-10-1733אינטליגנציה
- DeepSeekחדשDeepSeek: DeepSeek V4.1 Flash2026-10-1740אינטליגנציה
- OrcaOrca: OrcaCyber Zero 1.52026-10-10$3.00 / $7.50 לכל 1M טוקנים · 96 tok/s
- openaiOpenAI: GPT-6.1 Sol2026-09-2955אינטליגנציה
- anthropicAnthropic: Claude Sonnet 5.52026-09-2854אינטליגנציה
- typesafeTypeSafe: Jev 1.132026-09-24$0.04 / $0.00 לכל 1M טוקנים · 168 tok/s
- OpenAIOpenAI: GPT-6 Luna2026-09-2228אינטליגנציה
- OpenAIOpenAI: GPT-6 Sol2026-09-2248אינטליגנציה
- AnthropicAnthropic: Claude Opus 5.52026-09-2258אינטליגנציה
- xiaomiXiaomi: MiMo-V2.6-Flash2026-09-2127אינטליגנציה
- xiaomiXiaomi: MiMo-V2.6-Pro2026-09-2130אינטליגנציה
- xAIGrok 4.72026-09-2134אינטליגנציה
הדוח של Mandiant, AI Risk and Resilience 2026, שפורסם ב-Google Cloud בספטמבר 2026 וסוקר באותו שבוע על ידי Help Net Security, The Hacker News ו-SecurityBrief, מתאר שלוש התקשרויות שבהן ה-AI היה המנגנון ולא המטרה: הפעלת עוזר קידוד AI שנחטפה שהפיצה את Shai-Hulud worm בקרב כ-100 מאגרים פנימיים אצל ספק שירותי תוכנה כשירות שאינו נקוב בשמו; אישור גישה ל-CI/CD שנפרץ, שאותו הפך פורץ למוקד התקפי בסיוע AI בתוך חברת בריאות, תוך חילוץ אלפי אישורי גישה; וסוכן חשבונאי שצבר בסך כ-$50,000 בחיובי ענן בפחות משעה לאחר שערך null מושחת שבר את אחד מהכלים שלו, נעל מסד נתונים לחיוב ועצר תנועות בזמן אמת. לא היה מעורב תוקף במקרה השלישי. התיעוד שעליו נבנה מאמר זה, והרשומות שהוגשו סביבו, נמצאים בארכיון תקריות ה-AI, אשר כולל לכל רשומה את המקורות שלה, חומרה, דרגת ביטחון ודגל מחלוקת.
איזה סוג של מסמך זה
הדוח נקרא "AI risk and resilience in 2026: A Mandiant special report" בעמוד משאבי האבטחה של Google Cloud, והוא פרסום של ספק ולא גילוי על פרצה. מקרי הבוחן שלו מגיעים מהתקשרויות התגובה לאירועים של Mandiant ומהערכות של צוות האבטחה ההתקפית שלה, והארגונים מזוהים רק לפי מגזר: ספק תוכנה כשירות, ארגון בריאות גלובלי, ספק שירותים פיננסיים ארגוני גלובלי. אף קורבן אינו נקוב בשמו, אין תיארוך לאף חדירה, ואין הצהרת קורבן המלווה אף אחד מהשלושה.
זה מעצב את האופן שבו יש לקרוא את הנתונים. כל מספר בהם מקורו בחוקרי Mandiant עצמם. הערת Frontier Ready של Cloud Security Alliance מיום 16 בספטמבר מתארת את החיוב של כ-50,000 דולר ואת היקף 15,000 הקריאות כ"דיווח עצמי (מדד ספק)" ואומרת שהם "לא אומתו באופן בלתי תלוי" — תיאור הוגן של הדוח כולו, שאינו מפרסם טלמטריית צד שלישי שניתן להצליב מולה. הארכיון רושם ערך זה כרשומת מידע, כדוח ולא כאירוע עם נזק מתועד, ומדרג אותו ברמת ביטחון A בלי לסמן אותו כשנוי במחלוקת; דירוג זה מעיד על מידת התיעוד של הדוח, לא על האם צד חיצוני אימת את תוכנו.
הדוח עצמו ממסגר את הדברים כך: בשנת 2026 עברו תוקפים מלבקש מצ'אטבוטים לבצע מחקר לכך שהם מאפשרים למערכות סוכניות לקחת על עצמן חלקים מפלישה. מנדיאנט אומרת שקבוצת המודיעין לאיומים של גוגל צפתה בשחקנים שמפעילים כלים אוטונומיים, כולל Hexstrike ו-Strix, לצורכי סיור ואיסוף אישורי גישה, ובונים ממסרי פרוקסי וצינורות רישום אוטומטיים כדי לעקוף מעקות בטיחות ומגבלות חיוב בפלטפורמות AI מסחריות. היא מציינת את הפיכת יכולות הסוכן של OpenClaw לנשק בפברואר, כפי שתיעדה VirusTotal, פריצות לשרשרת האספקה במרץ שמנדיאנט מייחסת לשחקן שהיא עוקבת אחריו כ-UNC6780 ואחרים עוקבים אחריו כ-TeamPCP, וחשיפה במאי ש-GTIG תיארה כמקרה הפומבי המאושר הראשון שבו עבריין סייבר השתמש בניצול יום-אפס שפותח באמצעות AI, ניצול שעקף אימות דו-שלבי בכלי ניהול פופולרי בקוד פתוח.
מקרה ראשון: העוזר המליץ על החבילה
במקרה הראשון, תוקף פרץ לספק תוכנה כשירות ולאחר מכן השתלט על הפעלה פעילה של עוזר קידוד מבוסס בינה מלאכותית בתחנת העבודה של מפתח. Mandiant מתארת את העוזר כ"פועל כמפרש מהימן בתוך הסביבה": הוא המליץ להתקין חבילת תוכנה חיצונית שהתוקף כבר הרעיל, והמפתח קיבל את ההמלצה. הדוח אומר שהעוזר "פעל שלא במתכוון כסוס טרויאני".
מהסשן החי התקין התוקף גניב מידע (infostealer) דרך חבילת PyPI מורעלת ואסף את אסימוני ה-OAuth של GitHub של המפתח. תולעת Shai-Hulud המתפשטת מעצמה עברה אז בין כ-100 מאגרי קוד פנימיים, תוך אוטומציה של גניבת סודות המאגרים והדלפה תוכניתית של קוד המקור הקנייני של המוצר. התוקף גם הרעיל חבילה בתוך מרחב השמות הרשמי של הארגון, ועובד שני משך את הגרסה שנפרצה — הדבקה במורד הזרם שלפי תיאור Mandiant לא דרשה מהפורץ כל פעולה נוספת.
מה שהדוח אינו אומר הוא מתי כל זה קרה, או כיצד התוקף השיג שליטה בסשן העוזר מלכתחילה. Hacker News, שדיווח על חקר המקרה ב-16 בספטמבר, מציין את שתי ההשמטות. הערת המחקר של Cloud Security Alliance מ-18 בספטמבר על המקרה מכנה את וקטור הגישה הראשונית "השאלה הפתוחה המשמעותית ביותר של חקר המקרה" ומציינת שהבקרות המומלצות של Mandiant מתייחסות לכמה רחוק יכולה להתפשט הדבקה, ולא לאופן שבו השתלטו על הסשן.
הבקרות של Mandiant למקרה זה הן שלוש, והן מפורשות לגבי הכשל: לאכוף ווי אימות ב-IDE וב-CLI שבודקים כל תלות צד שלישי שהומלצה על ידי AI מול סכומי בדיקה קריפטוגרפיים ורשימת היתרים מאושרת; להרחיק מפתחות API גולמיים, אסימוני OAuth ארוכי-טווח וסודות אחרים מהישג ידם של תוספים; ולהגביל יציאת רשת מתחנות עבודה כך שתעבורת תלויות תנותב רק דרך מאגרים פנימיים מבוקרים.
מקרה שני: פרטי הסמכה של CI/CD שהפכו לרכזת ניפוי באגים משותפת עם AI
המקרה השני הוא חקירת ענן ארגונית בארגון בריאות גלובלי. Mandiant איתרה פעילות חריגה שמקורה באישור גישה ארוך-טווח של מפתחים ל-CI/CD שנחשף, שבו השתמש הפורץ כדי להקים מופע VM לא מבודד ולהפוך אותו למוקד תקיפה פעיל. במקום לבנות כלים במצב לא מקוון, התוקף חיבר מודלים גדולים של שפה ישירות לשרת הפועל וחזר וערך ניסיונות מולם במקום.
Mandiant מתארת תהליך עבודה תלת-שלבי. תחילה הגיעה הכנת ההקשר: חבילות קוד שסונכרנו דרך סשנים מרוחקים וקובצי README של הפרויקט נטענו אל הקשר הצ'אט של המודל, כדי לכוון את יצירת הקוד המאוחרת יותר לעבר מטרות הקמפיין. לאחר מכן ניפוי באגים אינטראקטיבי: התוקף גרם למודל לבנות מסגרת לאיסוף נתונים מרובת עובדים, ועבר איתו על שגיאות לוגיות של פיצול סקריפטים, תוך העלאת קצב ההדלפה למחזור של שלוש שעות. ולבסוף התחמקות וניצול: המודל כתב סקריפטים דינמיים לסיבוב כתובות IP כדי להחליף כתובות שרת שנמצאות ברשימת חסימה תוך כדי תנועה, ופיתח במשותף כלי מבוסס Rust לכניסה לחשבונות קורבנות ולבדיקת יתרות פיננסיות.
Mandiant טוענת שהקמפיין פגע באלפי פרטי גישה והבריח מפתחות API וסודות פיננסיים שנאספו אל מאגר שנשלט בידי התוקף. הדוח אינו מפרט נגד אילו חשבונות כוון הכלי של Rust, למי היו שייכות היתרות הפיננסיות שבדק, או מה עלה בגורל פרטי הגישה לאחר מכן. חקר המקרה אינו מזכיר בשום מקום נתוני מטופלים.
הבקרות המומלצות מתייחסות לפרטי הכניסה ולא למודל: החלפת מפתחות גישה ארוכי-טווח בקשרי אמון קצרי-טווח של Workload Identity Federation באמצעות OIDC; הגבלת תעבורת היציאה באמצעות VPC Service Controls כך שסביבות ריצה ופיתוח לא יוכלו להגיע לספקי מודלים חיצוניים שאינם מאושרים; הרצת סריקה רציפה לאיתור סודות בכל סביבות העבודה; והצבת חומת אש להנחיות בזמן ריצה, כגון Model Armor, בנתיב כדי ליירט פרטי כניסה מקודדים ישירות ולחסום סקריפטי עזר התקפיים בעת הפעלתם.
מקרה שלישי: הסוכן שהוציא $50,000 בפחות משעה
המקרה השלישי לא כלל יריב. ספק שירותים פיננסיים ארגוני גלובלי פרס סוכן ליישוב אי-התאמות בפנקס החשבונות שלו ונתן לו גישה לקריאה ולכתיבה למסדי נתונים פנימיים לחיוב. ערך null פגום שבר את כלי העיצוב של הסוכן, והסוכן הגיב בכך שנכנס למה שמנדיאנט מכנה לולאת הסקה רקורסיבית בלתי מוגבלת כדי לכפות תיקון בשיטת כוח גס.
תוך פחות משעה היא ביצעה יותר מ-15,000 קריאות API של הסקה בתדירות גבוהה ובעלות גבוהה, ויצרה זינוק פתאומי בחשבון הענן של כ-50,000 דולר. אותה לולאה גרמה לנעילה חמורה של מסד הנתונים המקומי, שעצרה עסקאות עסקיות פעילות. Mandiant מסווגת את המקרה תחת "denial-of-wallet", והתיקונים שהיא ממליצה עליהם הם תפעוליים ולא ברמת המודל: תקרת הוצאה, רקורסיה חסומה ומפסק אוטומטי לעצירת סוכן שממשיך להיכשל באותה משימה.
הדוח אינו אומר אם החיוב שולם, זוכה או הוטל בספק, כמה זמן הופסקו העסקאות, האם לקוחות נפגעו, או מה החברה שינתה לאחר מכן. הוא גם אינו מציין תאריך. הסיכום של SecurityWeek מ-18 בספטמבר מקבץ אותו תחת מה שהדוח מסמן כקטגוריית סיכון פיננסי חדשה ולא כחדירה קונבנציונלית.
הבקרות המוצעות של Mandiant הן אפוא פיננסיות באופיין: הגדרות גישה מבוססות זהות ותפקיד לסוכנים, ספי תקרת עלות וניטור כחלק מהממשל, וכן מפסקי מעגל פיננסיים אוטומטיים שעוצרים סוכן לאחר מספר מוגדר של כשלים רצופים במשימות. ברמת השירות והפרויקט היא ממליצה על תקרות פיננסיות קשיחות, מגבלות רקורסיה תחומות ומגבלות קצב, כך שלולאת תיקון עצמי תיחסם לפני שהיא הופכת להשבתה.
מה שמבוסס, מה שמיוחס, מה שלא נחשף
מבוסס. Mandiant פרסמה את הדוח הזה, והוא אומר את מה שסוכם לעיל. ארבעה פרסומים מקצועיים סיקרו אותו במרווח של שלושה ימים זה מזה — Help Net Security ו-The Hacker News ב-16 בספטמבר, SecurityBrief UK ב-17 בספטמבר ו-SecurityWeek ב-18 בספטמבר — והדיווחים שלהם תואמים את הדוח בכל נתון שהם חוזרים עליו. Cloud Security Alliance פרסמה הערת מחקר נפרדת על המקרה הראשון ב-18 בספטמבר, והגיעה לאותו פירוש של המכניקה שלו ולאותה מסקנה לגבי מה ש-Mandiant השמיטה.
מיוחס, לא אומת באופן עצמאי. המספרים הספציפיים הם של Mandiant: כ-100 מאגרים, אלפי פרטי גישה, מחזור דליפת נתונים של שלוש שעות, יותר מ-15,000 קריאות הסקה, כ-50,000 דולר, בפחות משעה. אף כלי תקשורת לא פרסם טלמטריה מאף אחד משלושת הקורבנות, ואף אחד מהשלושה לא צוין בשמו בידי איש. האימות הקיים הוא אימות של תוכן הדוח, לא של האירועים. הבחנה זו היא כל מה שקורא יכול להסתמך עליו כאן, וגם דירוג הוודאות של הארכיון צריך להיקרא כך.
לא נמסר. הדוח אינו מוסר תאריכים לאף אחת משלוש ההתקשרויות, אינו נוקב בשמות נפגעים ואינו מתאר כיצד השתלטו על הפעלת העוזר במקרה הראשון. הוא אינו אומר אם אסימוני GitHub OAuth וסודות המאגר שנאספו בוטלו, אם אלפי פרטי הגישה מהמקרה השני נוצלו או אופסו, אם נושאי המידע של ארגון הבריאות נפגעו, אם החיוב של סוכן הנהלת החשבונות הושב, או מה שינו מי משלושת הארגונים לאחר מכן. כתבה זו לא מצאה הצהרת נפגע, הודעת רגולטור או דיווח המשך שפורסמו מאז 16 בספטמבר ושממלאים את החסרים הללו.
היכן שהסיקור מתפצל. ההערה של Cloud Security Alliance מתארת את ההדבקה השנייה במקרה הראשון ככזו שהתפשטה דרך מרחב השמות npm של החברה עצמה. הטקסט של Mandiant אומר רק "חבילה בתוך מרחב השמות הרשמי של הארגון" ואינו מציין אקוסיסטם שם; הפרשנות שלפיה מדובר ב-npm היא תוספת, לא ציטוט. בנפרד, The Hacker News מבהיר במפורש כי התולעת במקרה הזה אינה מקושרת לפי הראיות הזמינות לתולעת ה-npm מאוגוסט שהטמיעה hooks עבור עוזרי קידוד, או לוריאנט של Shai-Hulud שנמצא כשהוא סורק 469 מיקומים בחיפוש אחר פרטי גישה — אותו שם משפחה, קמפיינים נפרדים, ובלי ראיות במאמר המקשרות ביניהם.
מה שהדוח אומר שצריך להשתנות
ההמלצות של Mandiant חוזרות על עצמן בכל מחקרי המקרה שבדוח: לנטוש קרדנציאלים ארוכי-טווח וחשבונות שירות ולעבור לזהויות הקשורות לעומס עבודה וקצרות-טווח מעצם תכנון; להתייחס לעוזרי קידוד מבוססי AI ולשרתי MCP כאל סשנים בעלי הרשאות גבוהות שההרחבות וה-hooks של CLI שלהם נבדקים לפני הפעלה; לכלוא עומסי עבודה של סוכנים בהיקפי רשת שחוסמים תעבורת יציאה לספקי מודלים שאינם מאושרים; ולנטר שימוש בטוקנים, קריאות API חוצות-יישומים וגישה של סוכנים לנכסים רגישים, כך שקריאה ראשונה במאגר רגיש תופיע כאות ולא תתמזג בתעבורת כלים לגיטימית.
מבחינת עלות, הוא משרטט קו בין ממשל של AI לבין ממשל עבור AI: מדיניות שקובעת תיאבון לסיכון וכללי רכש מצד אחד, ומגבלות טכניות נאכפות מצד שני. סוכן החשבונאות הוא הדוגמה של הדוח לכישלון מהסוג השני: לפי הדיווח של Mandiant, דבר בפריסה שלו לא תחם את הלופ, והבקרות שהיו אמורות לתפוס את הכשל — תקרה, הגבלת קצב, מפסק אוטומטי — הן בקרות רגילות שהוחלו על עומס חריג.
שלושת המקרים אינם חולקים סיבה משותפת. האחד הוא בעיית אמון, שבה להמלצה של עוזר הייתה הסמכות של המלצת עמית. השני הוא בעיית אישורים שקדמה לכל מודל, כאשר המודלים הפכו את החדירה למהירה ומותאמת יותר מרגע הכניסה פנימה. השלישי אינו אף אחד מאלה: אין תוקף, אין ניצול פרצה, רק סוכן שקיבל גישת כתיבה לספר חשבונות ולא הייתה תקרה לסכום שיכול היה להוציא כדי לתקן כלי מקולקל. המשותף להם הוא שבכל אחד מהם הייתה למערכת ה-AI סמכות שאיש לא תיחם את גבולותיה — להמליץ, להגדיר מחדש, להמשיך לנסות.
