כישוף אפל: דפי אינטרנט מורעלים, 374 מותגים ותשובות שאיש לא בדק

ב-23 בספטמבר 2026 פרסמה חברת האבטחה Vigilance Security מחקר המתאר קמפיין פעיל שאותו היא מכנה Dark Sourcery: תוקפים מציפים את האינטרנט הפתוח בפוסטים, קובצי PDF וביקורות שעברו אופטימיזציה, ובדפי תמיכה מזויפים, כך ש-ChatGPT, Google Gemini ו-Google AI Overviews יחזירו מספרי טלפון, כתובות דוא"ל ודפי התחברות הונאתיים כפרטי הקשר הרשמיים של חברה. Dark Reading דיווחה על המחקר באותו יום, ונקבה בשמות Delta, Lufthansa, Qatar Airways, Chase, Bank of America, Airbnb ו-TripAdvisor בקרב לפחות 374 חברות שנלכדו בו, כשמאחוריהן עשרות אלפי דפים זדוניים. שום מודל לא נפרץ — הדפים המורעלים היו פשוט מה שהמודלים קראו, וההונאה הגיעה כשהיא נושאת את אמינותו של העוזר עצמו. רשומה זו היא ערך אחד בארכיון אירועי ה-AI של OrcaRouter, העוקב אחר אירועי AI וממצאי מחקרים באמצעות אותם שדות שבהם נעשה שימוש כאן: חומרה, רמת ביטחון, סטטוס שנוי במחלוקת ונזק ממשי.

מה Vigilance Security פרסמה בפועל

המחקר הוא פוסט ב-Medium מאת אריאל סימון, סגן נשיא למחקר ב-Vigilance, שכותרתו "Dark Sourcery: How Hackers Manipulate AI to Scam You", שפורסם ב-23 בספטמבר 2026. הכתבה של Dark Reading, מאת הכותב התורם אליזבת מונטלבנו ובעלת חתימת זמן של 14:47 UTC באותו יום, מקשרת ישירות אליו ומצטטת את סימון לכל אורכה. הפוסט מתאר פעולת תוכן ולא ניצול לרעה: שום פגיעות אינה מנוצלת, שום אישורי גישה אינם נגנבים ישירות על ידי התוקף, ושום דבר לא נשלח למודל שמודל יכול היה ללמוד לסרב לו.

Vigilance אומרת כי זיהתה "עשרות אלפי דפים זדוניים" המכילים מספרי תמיכה מזויפים, כתובות דוא"ל, דפי התחברות, מידע על עדכוני תוכנה ופרטים הונאתיים אחרים, שנבנו כדי לעצב את מה שהצ'אטבוטים אומרים. היא מעריכה את מספר החברות שנפגעו ב"לפחות 374", ומתארת אותן ככוללות ארגונים מ-Fortune 100, חברות תעופה גדולות, בנקים, חברות נסיעות וספקיות תוכנה. המותגים הנקובים בשמם בדוח של Dark Reading הם Delta, Lufthansa, Qatar Airways, Chase, Bank of America, Airbnb ו-TripAdvisor.

לא פוסט המחקר ולא הדיווחים שבאו בעקבותיו מספקים פירוט לפי מותג — איזה מספר מזויף היה שייך לאיזו חברה, כמה דפים מורעלים כוונו לכל אחת, או מתי כל דף בודד עלה. הנתון 374 מוצג כסכום כולל, והתיעוד נושא אותו באותו אופן.

סיימון גם מצטט מחקר של Exploding Topics, שפורסם באוגוסט 2026, שמצא ש-91% מהאנשים שמשתמשים בצ'אטבוטים של AI אינם מאמתים את התשובות שמסופקות. המספר הזה הוא הנחת היסוד של הקמפיין ולא המדידה שלו: הוא מצוטט במחקר וחוזר על ידי Dark Reading ו-IANS, והמתודולוגיה שלו עצמה אינה מתוארת באף אחד מהסיקורים שנבחנו כאן. בניסוח של סיימון, "אם התוקפים שולטים ב-AI, ואנחנו סומכים עליו בעיניים עצומות, הם בעצם שולטים בנו."

איך ההרעלה נבנית

למנגנון שלושה חלקים, ורק הראשון שבהם שייך לתוקף במובן המקובל כלשהו. ראשית, לזרוע ברשת דפים שמציגים את פרט הקשר הכוזב. שנית, לגרום לאותם דפים להיראות כאילו הם מגיעים ממקום שמערכת אחזור צריכה לסמוך עליו. שלישית, לתת לעוזר לבצע את הציטוט.

השלב השני הוא המקום שבו Vigilance שמה את מרבית הדגש שלה. "אנו חושדים שדומיינים בעלי סמכות גבוהה (אוניברסיטאות, ממשל) בשילוב עם מקורות דעת קהל (מדיה חברתית, פורומים, ביקורות משתמשים) השיגו הצלחה גבוהה בהרעלת תשובות AI," אמר Simon ל-Dark Reading. "בהתאם למודל, ה-AI בוחן את המקור ונותן אמון רב יותר בתוכן אם הוא מגיע מגורם סמכותי." זהו תיאור של מוניטין שאול: עמוד אוניברסיטאי שנפרץ או שנוצל לרעה מספק את הסמכות, ופיזור של פוסטים בפורומים וביקורות מספק את המראה שהטענה מאומתת במקום אחר.

Ground Truth, כלי תקשורת שבודק טענות של בינה מלאכותית מול המקורות שלהן, סיכם את טקטיקות הזריעה המפורטות בפוסט של סיימון: אותם פרטי קשר כוזבים או דומים להם, שהופצו על פני פוסטים שנוצרו על ידי משתמשים, קובצי PDF, דפים מתארחים, ביקורות, פלטפורמות גיוס תרומות ותעסוקה ותוכן בסגנון שו"ת; פרטים שכווננו לאחזור עם עיצוב חוזר וביטויים כמו "24/7" ו"מעודכן 2026"; ואותו מספר טלפון שמוצג עם רווחים, נקודות, אמוג'י, תווים דמויי יוניקוד או מילים באיות מלא. הטכניקה האחרונה הזו ממלאת שני תפקידים — היא מביסה זיהוי של מחרוזות כפולות בעוד מודל עדיין קורא מספר אחד. Ground Truth מתארת את המטרה במדויק: לא עמוד ויראלי אחד, אלא "החזות של אישוש בלתי תלוי".

הכתבה של {{1}}GIGAZINE{{/1}} על המחקר מציעה המחשה קונקרטית אחת: פוסט תמיכה מזויף למדפסת HP ותמונה הנושאים מספר טלפון שלא היה של HP. זוהי דוגמה לדפוס ולא מקרה שנבדק בביקורת, והמגזין מייחס אותה למחקר של {{2}}Vigilance{{/2}} ולא לחקירה משל עצמו.

לא הזרקת פרומפט — אבל זה תויק כך

ההבחנה חשובה, וסיימון מציג אותה במפורש. Dark Reading מצטט אותו באומרו שהקמפיין שונה מהזרקת פרומפטים "בכך שהוא אינו כולל מתן הוראות או פרומפטים מפורשים ל-AI מצד התוקף, שאולי היו נסוכלים על ידי הגנות ה-AI". הניסוח החד יותר שלו: "כאן, המידע הכוזב המוצג כעובדות גורם ל-AI להשיב למשתמש במידע הכוזב, בלי לעקוב אי פעם אחרי שום הוראה/פרומפט של התוקף, ובעצם לעקוף את כל ההגנות."

זה גם שונה מהרעלת נתוני אימון, אשר משחיתה את מה שמודל למד לפני הפריסה. כל מה שקורה כאן מתרחש בזמן שליפה, מול האינטרנט החי, אחרי שהמודל הופץ — ולכן שום אימון מחדש לא מתקן זאת, ולכן ניתן להוריד את הדף המורעל בלי שהתשובה בהכרח תשתנה.

הארכיון מתעד רשומה זו תחת IPI, תג הזרקת ההנחיה העקיפה שלו. קראו בתשומת לב: התג והמחקר מתארים דברים סמוכים — IPI עוסק בתוכן שמגיע למודל בעקיפין, בתוך חומר שהמודל מתבקש לעבד, ולא בתוכן שהוקלד על ידי המשתמש שלו. Dark Sourcery הוא אותו ערוץ לאחר הסרת ההוראה — המטען הוא עובדה, לא פקודה. התג הוא החלטת תיוק לגבי הערוץ; התיאור של סיימון הוא טענה לגבי המטען, והשניים אינם סותרים זה את זה. אין לקרוא את התג כקביעה שנמסרה הנחיה של תוקף, משום שלפי התיאור של המחקר עצמו לא נמסרה כזו.

מה שהתיעוד מבסס, ומה שהוא אינו מבסס

הארכיון מדרג את הרשומה הזו כ-B — מתועדת, אך ממקור יחיד או משני — ודירוג זה הוא הדבר השימושי ביותר בה. שום דבר בסיקור שנסקר כאן אינו סותר את המחקר. הבעיה אינה סתירה; היא ששרשרת הראיות היא ברוחב של מסמך אחד.

• מבוסס: Vigilance Security פרסמה את המחקר ב-23 בספטמבר 2026 תחת שמו של סיימון, והוא מציג את הטענות שתוארו לעיל — 374 החברות, עשרות אלפי העמודים, המותגים הנקובים בשמם, המנגנון וטקטיקת הסמכות השאולה.

• נקבע: המחקר דווח באותו יום על ידי Dark Reading, ובתוך חמישה ימים על ידי IANS (24 בספטמבר), GIGAZINE ו-Ground Truth (25 בספטמבר), NEWSru.co.il תוך ציטוט של הערוץ הישראלי Israel Defense (27 בספטמבר), ובדפי המחקר של הספקים ב-Aviatrix (23 בספטמבר) וב-Kronus Intelligence Group (28 בספטמבר).

• מה שזה לא מוכיח: אימות עצמאי. כל אחד מהמאמרים האלה מתבסס על הפוסט של Simon או על הדיווח של Dark Reading עליו, ולכן הם מפיצים את הטענות במקום לבחון אותן. ה-URL השני שמצוטט בארכיון עצמו, bestsec.net, הוא תקציר חדשות סייבר שמתעדכן מדי יום; ב-26 באוקטובר 2026 לא הופיע בעמוד הבית שלו פריט של Dark Sourcery, ולכן הכתבה של Dark Reading היא הציטוט העמיד.

• לא הוכח: ההיקף. Ground Truth קובעת בבירור כי "הטענות של הגילוי בדבר 374 חברות שנפגעו ועשרות אלפי עמודים לא נבדקו באופן בלתי תלוי", וכי לא פורסמו מערך נתונים ציבורי, קורפוס של עמודים זדוניים או יומן שאילתות בר-שחזור. הניתוח של Kronus Intelligence Group מ-28 בספטמבר מגיע לאותה מסקנה ומציע תווית שימושית: לתאר את המנגנון כמבוסס ואת ההיקף כ"מדווח אך לא מאומת".

• לא הוכח: שחזוריות, לפי עדותם של החוקרים עצמם. Ground Truth מדווחת שסיימון תיאר את התוצאות כסטטיסטיות ואמר שהן לא שוחזרו בכל פעם ששאילתה הורצה. זהו מאפיין רגיל של מערכות אחזור מוגבר — דירוגים, גרסאות מודל, מיקום, תזמון וניסוח משתנים כולם — וזו גם הסיבה לכך שלא ניתן היה להדגים את הממצא לפי דרישה.

• לא הוכח: היקף הנזק. הארכיון מתעד נזק אמיתי כקיים, והבסיס לכך צר. סיימון אמר ל-Dark Reading כי ב-Vigilance ראו "מקרים ספורים" של אנשים שהתלוננו שנוכלו להונות אותם כדי שימסרו פרטי תשלום או נתוני כרטיסי תשלום באמצעות מספרים הונאתיים שסופקו בתשובות צ'אטבוט. החוקרים גם התקשרו לכמה מהמספרים המזויפים בעצמם והגיעו לנציג שהציע "לשנות את הטיסה שלנו" או "לפתוח את חשבון הבנק שלנו", ואז ביקש פרטי כרטיס. לא מצוין שמו של קורבן, לא מכמתים נזק, ולא מוזכרת תלונה או פעולת אכיפה.

• אין מחלוקת: הארכיון מתעד את הרשומה כבלתי מעורערת, והדבר עומד במבחן — השאלות הפתוחות בסיקור הן חסרים בגילוי, לא אי־הסכמות עמו.

מה אמרו שתי הפלטפורמות

לפי NEWSru.co.il, בהסתמך על Israel Defense, החוקרים דיווחו על ההתנהגות לשני הספקים. עמדתה של Google, כפי שדווח, הייתה שסוג כזה של דיסאינפורמציה נופל מחוץ לתחום תוכנית גילוי הפגיעויות שלה. על פי הדיווחים, OpenAI סגרה את הדוח בטענה שלא ניתן לשחזר את הממצאים באופן מהימן, לנוכח השונות בתגובות של מודלי שפה. שני הסיכומים הם פרפרזות: המאמר אינו נוקב בשם דובר באף אחת מהחברות, אינו מביא ציטוט ישיר, ואינו מתארך את התגובות.

אף אחת מהתגובות אינה מכחישה שהתשובות המורעלות קיימות. אם קוראים אותן כהחלטות מיון ולא כהפרכות, שתיהן לפחות קוהרנטיות מבחינה פנימית — תוכנית באג באונטי נועדה לתגמל פגם משוחזר בקוד, וזה לא ניתן לשחזור לפי דרישה וגם לא פגם בקוד. הדף המורעל נמצא באתר של מישהו אחר. מה שחילופי הדברים כן מדגימים הוא פער: הנזק ממשי מספיק כדי לייצר קורבנות, וההתנהגות משתנה מספיק כדי להיכשל בבדיקת שחזור, ולכן היא נופלת למרחב שבין „פגיעות אבטחה” ל„בעיית תוכן”, שבו שום ערוץ גילוי לא ממתין לה.

נכון לניתוח של קרונוס מ-28 בספטמבר, לא OpenAI ולא Google אישרו או הפריכו בפומבי את הנתון בדבר 374 חברות, ושום הצהרה מטעם אף אחת מהחברות לא מופיעה באף אחד מהסיקורים שנבחנו כאן.

מה השתנה לאחר מכן

לא הוכרז שינוי בפלטפורמה בתגובה. הקמפיין תואר כמתמשך בפרסום ב-23 בספטמבר, וההערכה של סיימון עצמו היא שהחשבונאות לא הושלמה: "אנו מאמינים שההשפעה האמיתית של ההונאות האלה מתרחשת כעת, ואנחנו עדיין לא מסוגלים להבין או למדוד את מלוא ההשפעה."

מה שקיים במקום זאת הוא עצה. ההמלצות של סיימון, כפי שדווח ב-Dark Reading, נוטות בשלושה כיוונים. עבור משתמשים: לאמת את מה שעוזר אומר לכם במקום להתייחס אליו כאל דבר שאין בו טעות. עבור מותגים: להתייחס ברצינות לתלונות לקוחות על הונאות, לנטר את תשובות ה-AI שהלקוחות מקבלים בפועל ואת המקורות שהתשובות הללו מצטטות, ולתעדף את הקטגוריות שבהן מספר שגוי יקר — תמיכה, שחזור חשבון, החזרים, תשלומים והורדות תוכנה. עבור ארגונים שמפעילים סוכנים: לנטר בזמן ריצה, לאמת כל מקור וכל פיסת תוכן שנכנסים להקשר של המודל, ולבדוק פרטים קריטיים — מספרי טלפון, קישורים, חבילות תוכנה, שורות פקודה — לפני שפועלים לפיהם. שלב ההשוואה שהוא מציע הוא ידני במכוון: "השוו מספרי טלפון, כתובות דוא"ל וכתובות URL שהוחזרו מול רשומות מאומתות של החברה, ואז חקרו פרטים לא מוכרים ואינדיקטורים חוזרים באתרים לא קשורים."

IANS העבירה את אותה עצה דרך סקירת הסגל שלה, כאשר ג'וש מור מיקם את הקמפיין בשושלת — "אנחנו רואים את זה במנועי חיפוש כבר שנים" — וג'ורג' גרצ'ו דחס את המנגנון לשורה ששווה לשמור: "אף אחד לא פרץ למודל. הם זרעו את המקורות שהוא סומך עליהם ונתנו לו לדבר. הצ'אטבוט לא נפרץ; הוא הוזן." המלצות הסגל של IANS מוסיפות ניטור מותג ומגבלות על האוטונומיה של סוכנים לעצת האימות, ואף אחת מהן אינה מהווה תיקון.

למה כדאי לשמור את התקליט

הרעלת תוצאות חיפוש היא תופעה ותיקה. מה שהתיעוד הזה מתאר הוא הנקודה שבה תוצאת החיפוש חדלה להיות הדבר שהמשתמש רואה. בגרסה המקובלת, הקורבן נוחת על דף, והדף הוא הראיה — עם שגיאות כתיב, אחסון מוזר, וניכר לעין שאינו הבנק. כאן הדף לעולם אינו מוצג. מודל קורא אותו, מסכים איתו, וכותב משפט שמתחיל בשם המותג ומסתיים במספר של התוקף. הציטוט אולי נמצא שם, אבל את השיפוט שציטוט בדרך כלל תומך בו כבר עשה משהו שלא מתעייף ולא חושד.

זו גם הסיבה לכך שדירוג הוודאות של הרשומה עושה עבודה ממשית ולא רק מטלות תחזוקה. המנגנון אינו מוטל בספק של ממש — כך נבנות מערכות משופרות באמצעות שליפה, והאנליסטים בתעשייה שכתבו על כך התייחסו לכך כאל סביר ממבט ראשון. ההיקף מוטל בספק, ויישאר בספק עד שמישהו יפרסם קורפוס או יומן שאילתות. מדידה של חברה אחת, שהופצה על ידי כלי תקשורת שכולם מצטטים את אותו פוסט, היא סיבה לתעד את התקרית וסיבה לא לחזור על המספר כאילו נספר פעמיים.

המסגור של הארכיון עצמו מציב אותו בחומרה גבוהה, עם מעורבות AI מאומתת, נזק ממשי מתועד וללא מחלוקת. מה שהרשומה באמת מתעדת הוא העברת אמון: המוניטין של המותג הוא חומר הגלם, הרהיטות של העוזר היא מנגנון המסירה, ושלב האימות שהיה אמור לתפוס את זה הוא השלב ש־91% מהמשתמשים נאמר שמדלגים עליו.