AI Safety Incidents

Barracuda: דוא״ל פישינג אחד מכוון כעת גם לנמען וגם ל-AI של תיבת הדואר שלו

מחבר

Rowan Sterling

תאריך פרסום

Oct 10, 2026

מודלים אחרונים · 20צפו בכל המודלים →

בנצ'מרקים: Artificial Analysis · מתעדכן יומית

חזרה לכל הפוסטים

ב-7 באוקטובר 2026, Barracuda Research פרסמה ניתוח של קמפיין פישינג שנועד לפגוע בשני קוראים עם אותה הודעה: האדם שמקבל אותה, והעוזר ה-AI שמסכם את תיבת הדואר הנכנסת שלו. החצי הפונה לאדם אינו יוצא דופן — קובץ מצורף מוגן בסיסמה שסיסמתו כתובה בגוף ההודעה, שילוב שלדברי Barracuda "יוצר נקודה עיוורת עבור בקרות אבטחת דואר אלקטרוני מסורתיות". החצי השני חדש. חבויות בתוך אותו דואר אלקטרוני — בהערות HTML, בטקסט בלתי נראה ב-CSS, בבלוקים מקודדים ב-Base64 ובתווים ברוחב אפס — הוראות המכוונות לכל מודל שמנתח את הדואר, שנועדו לגרום לעוזר "להציג את הודעת הפישינג כלגיטימית או דחופה" או לגרום לו לפעול באופן עצמאי.

Barracuda מסרה כי הדגימה שבדקה הוסוותה כהתכתבות פנימית שגרתית ונשאה ציון ספאם מהימן, וכי מקורה בדומיין של המגזר הציבורי. הארכיון אינו מתעד קורבן מאומת ולא נזק מדווח: זהו ממצא מחקרי על דפוס תקיפה, ולא חשיפה של ארגון שנפרץ. Barracuda לא חשפה את היקף הקמפיין, וגם לא Infosecurity Magazine ולא The Hacker News — ששניהם סיקרו את המחקר — הצליחו להוסיף נתון.

Screenshot of Barracuda's Threat Spotlight post, 'Threat Spotlight: Email attacks target both humans and AI in the same message', bylined to Guruprasad Kenja and stamped 'Updated: Oct. 6, 2026'. The visible text reads 'Barracuda Research has uncovered phishing attacks aimed at both human recipients and the AI-powered systems they use to summarize, prioritize, and process email.' The Key takeaways section lists three bullets: attackers are combining tactics to manipulate both human users and their email AI assistants in the same phishing email; humans are targeted with social engineering such as password-protected attachments while AI assistants are targeted with prompt injections designed to influence or override user behavior; and organizations must secure not only users and inboxes but also the AI systems that consume and act on email data.

מה ש-Barracuda למעשה פרסמה

הפוסט הוא פוסט בבלוג של מחקר איומים מטעם ספק, שכותרתו "זרקור איומים: התקפות דוא״ל מכוונות גם לבני אדם וגם ל-AI באותה הודעה" ובחתימת Guruprasad Kenja, המתואר כאנליסט איומים של Barracuda. הוא מתוארך ל-7 באוקטובר 2026 בנתיב ה-URL שלו, ובעמוד עצמו מופיע חותם "עודכן: 6 באוקטובר 2026"; הידיעה של Infosecurity Magazine, מאת Alessandro Mascellino, מתוארכת ל-7 באוקטובר, והסיכום ThreatsDay ב-The Hacker News, שפורסם ב-8 באוקטובר, מקשר לאותו פוסט של Barracuda. הפער של יום אחד בין תאריך ה-URL לבין החותם שעל העמוד הוא של Barracuda עצמה ואינו מוסבר על ידי אף אחד מהשלושה.

המסגור של Barracuda הוא שהעוזר הפך למשטח תקיפה שני. בלשונה, ארגונים "חייבים לאבטח לא רק משתמשים ותיבות דואר, אלא גם את מערכות ה-AI שצורכות ופועלות על נתוני דואר אלקטרוני." המחקר מתאר הודעה אחת עם שני מטענים ולא ניצול חדש: פיתוי הנדסה חברתית קונבנציונלי הוא מה שמסנן נועד לתפוס, והזרקת פרומפט ממוקמת במקום שמסנן היסטורית לא הסתכל בו.

הדוגמה: נוצרה כדי לעבור את בדיקות המוניטין

Barracuda מפרטת שלושה מאפיינים של ההודעה אשר, לפי תיאורה, עזרו לה לחמוק מסינון מבוסס מוניטין:

• כתובת השולח וכתובת הנמען היו אותה תיבת דואר, כך שההודעה נקראה כפתק לעצמי ולא כדואר חיצוני.

• הוא נשא ציון ביטחון ספאם מהימן.

• מקורו בדומיין מהמגזר הציבורי.

Barracuda אינה נוקבת בשם הדומיין במגזר הציבורי, אינה אומרת אם הדומיין הזה היה המקור האמיתי של ההודעה או דומיין מזויף, ואינה נותנת תאריך שבו נצפתה ההודעה. הפערים האלה חשובים לכל מי שמנסה לשפוט עד כמה היה הקמפיין קרוב להצליח, והם פערים במקור הראשוני — לא משהו שכלי תקשורת אחר השלים.

החצי הנסתר: ארבע דרכים שבהן ההוראות מוברחות

Barracuda מנה ארבע טכניקות ככאלה שהיא רואה לעתים קרובות. כל הארבע נשענות על אותה אסימטריה: לקוח דואר מציג הודעה בדרך אחת, בעוד שהמודל שקורא את המקור הגולמי רואה את כל מה שהלקוח הסתיר.

OrcaRouter card titled 'The four hiding places Barracuda names', listing four rows. HTML comments: instruction sits in comment tags that never render in a mail client but survive in the raw source the model parses. CSS-invisible text: zero-pixel font size, white colour, or fully hidden — occupies no visible space, still present in the document. Base64-encoded data: instruction buried in an encoded block such as an image data string, decoded by an automated pipeline. Zero-width characters: invisible Unicode characters layered into normal text to smuggle content. A footer reads 'Techniques as described by Barracuda Research, 7 October 2026.'

כל פריט ברשימה הזאת הוא תיאור של נשא, לא של השפעה, ו-Barracuda מבהירה במפורש שההזרקות מתוכננות לפעול על העוזר ולא על האדם. תג הסוג של הרשומה הוא IPI — הזרקת פרומפט עקיפה — שהוא המונח התקני להוראות שמגיעות בתוך תוכן שמבקשים ממודל לעבד, ולא מוקלדות על ידי המשתמש שלו.

מה שהזריקות היו אמורות לעשות

התיאור של Barracuda את מטרות המטען מתנהל בשני מסלולים. המסלול הרך יותר מנסה להטות את הסיכום: אם האדם מתעלם מהקובץ המצורף, הטקסט המוסתר נועד לגרום לעוזר לתאר את ההודעה כלגיטימית או כדחופה, ולדחוף את הנמען לפתוח וללחוץ. Barracuda אומרת שאף אחת מההוראות האלה אינה גלויה למשתמש. המסלול הקשה יותר מנסה להפוך את העוזר לגורם הפועל — כשהוא אומר לו "להתעלם מההנחיות הקודמות שלו" ובמקום זאת לשלוח בקשה דחופה להעברת כספים, להדליף נתונים, או להציג פעולה דחופה מזויפת.

הדוגמאות מהעולם האמיתי הנלוות ש-Barracuda מצטטת מראות את אותו המנגנון מיושם בתהליכי עבודה אחרים בתיווך בינה מלאכותית:

• הודעת דוא״ל עם חשבונית המכילה בלוק טקסט נסתר שאומר למודל המסכם להוסיף פעולה מזויפת בעדיפות גבוהה שמשנה את פרטי התשלום לספק, ובכך מדרבן עובד להעביר כספים בהעברה בנקאית לתוקף.

• קורות חיים שהטקסט המוסתר בהם מורה לכלי סינון מבוסס בינה מלאכותית לדרג את המועמד 10 מתוך 10 ולהמליץ על ראיון מיידי ללא קשר לכישוריו.

• בקשה שמנוסחת כ"מצב תחזוקה או אדמין" מורשה, ומבקשת מבוט תמיכה לחשוף את התצורה של עצמו.

• תיעוד מורעל בעמוד שעוזר קידוד קורא, המורה לו להוסיף שורת הדלפת פרטי גישה בכל פעם שהוא מייצר קוד אימות.

אלה מתוארים כדוגמאות לטכניקה, לא כהפרות מאושרות. אין דבר בפוסט של Barracuda שאומר שמודל מסכם, כלי סינון, בוט תמיכה או עוזר קידוד אכן צייתו בפריסה אמיתית, והארכיון מתעד את real_harm כ-false.

מה מבוסס, ומה לא

ההבחנה חשובה כאן יותר מאשר ברוב דיווחי האירועים, מפני שהתיעוד מתאר תכנון ולא תוצאה.

• מבוסס: Barracuda Research בחנה קמפיין פישינג ששילב קובץ מצורף מוגן בסיסמה עם הזרקת פרומפט נסתרת באותה הודעה, ופרסמה את הניתוח שלה ב-7 באוקטובר 2026. ארבע טכניקות ההסתרה וארבע דוגמאות השימוש מפורטות באותו פוסט. שני כלי תקשורת עצמאיים — Infosecurity Magazine ו-The Hacker News — דיווחו על אותם ממצאים מבלי לסתור אותם, ולכן רמת הביטחון של הרשומה מדורגת A.

• לא הוברר: האם עוזר כלשהו אכן נחטף, כמה הודעות נשלחו, מי קיבל אותן, והאם הועבר כסף או יצא מידע. Barracuda סירבה למסור את היקף הקמפיין. אף רגולטור, ארגון נפגע או ספק אבטחה לא אימת פגיעה ספציפית, ואף גורם מזוהה בשמו אינו משויך לדגימה.

• לא במחלוקת: אין בסיקור דבר שסותר את גרסת Barracuda. השאלות הפתוחות הן השמטות, לא חילוקי דעות — והארכיון אינו מתעד את הממצא כשנוי במחלוקת.

הרשומה מסווגת כממצא מחקרי בחומרה בינונית, עם מעורבות AI מאושרת — עוזר ה-AI הוא היעד שהקמפיין מהונדס סביבו, והוא הסיבה לכך שההודעה יוצאת דופן. היא אינה מסווגת כציון דרך, ואין טווח תאריכים: הניתוח מתאר נקודת זמן אחת, 7 באוקטובר 2026, ולא חלון קמפיין.

ההקלות ש-Barracuda ממליצה עליהן

עמדת Barracuda היא ש"שום בקרה בודדת לא תעצור כל וריאציה", ולכן ההמלצות שלה הן מערך מרובד ולא תיקון. היא ממליצה להסיר רכיבים נסתרים, הערות ותווים בלתי נראים מתוכן לפני שהתוכן הזה מגיע למערכת בינה מלאכותית; לזהות ניסוח עוקף הוראות כחתימה של הזרקת פרומפט; להריץ עוזרים בארגז חול כך שטווח הפעולה שלהם יהיה מוגבל; לאמת פלט לפני שתגובת עוזר מפעילה פעולה; ולדרוש אישור אנושי לתשלומים, לשינויים בספקים ולהחלטות רגישות אחרות. היא גם ממליצה לנטר אחר ניסיונות הזרקה חוזרים, ומציגה את העיקרון הבסיסי כהתייחסות לתוכן חיצוני כ"תמיד כנתונים בלבד ומופרד מהוראות".

הפוסט גם מפנה למוצרים של Barracuda עצמה — Email Gateway Defense, Behavioral AI ו-Automated Threat Response — כאל הבקרות שהיא מוכרת עבור צד הסינון והתיקון. זהו ספק שממליץ על הקטלוג של עצמו, וכדאי לקרוא זאת כך: ההמלצות הטכניות אינן תלויות במוצרים, אך הפוסט אינו בוחן אף אחד מהם מול הקמפיין שהוא מתאר.

למה כדאי לשמור את הרשומה

הערך הייחודי של רשומה זו הוא בכך שהיא מתעדת את הנקודה שבה שתי הגנות שהיו נפרדות בעבר מפסיקות לכסות את אותה הודעה. קובץ מצורף מוגן בסיסמה מביס סריקת תוכן משום שהסורק אינו יכול לפתוח את הקובץ; הזרקת הנחיה נסתרת מביסה ניקוד מוניטין משום שניקוד מוניטין בוחן את השולחים, ולא את מה שמודל שפה יעשה עם גוף ההודעה. הכניסו אותם להודעת דוא"ל אחת ומצבי הכשל נערמים: מסנן שנותן להודעה לעבור על סמך ניקוד מהימן נתן לעבור גם את המטען שכוון לכל מה שיקרא את תיבת הדואר הנכנסת בשלב הבא. הדוגמה של Barracuda היא ההוכחה לכך שהשילוב הזה אינו היפותטי.

Screenshot of the Infosecurity Magazine news item 'Attackers Hide AI Prompt Injections Inside Phishing Emails', dated 7 October 2026 and bylined to Alessandro Mascellino. The visible text reads that phishing emails have been found carrying hidden instructions for AI assistants alongside conventional lures for the human recipient, meaning that a single message targets both the user and the system that summarizes their inbox, and that in research published on October 7 Barracuda said it analyzed a campaign combining traditional social engineering with prompt injection concealed in the same message but did not say how widespread the campaign was.

רשומה זו — ממצא הפישינג הדו-מטרתי של Barracuda — היא ערך אחד בOrcaRouter AI Incident Archive, העוקב אחר אירועי AI, ממצאי מחקר והערכות עם אותם השדות ששימשו לעיל: חומרה, רמת ביטחון, סטטוס שנוי במחלוקת ונזק ממשי.

Barracuda: דוא״ל פישינג אחד מכוון כעת גם לנמען וגם ל-AI של תיבת הדואר שלו

מה ש-Barracuda למעשה פרסמה

הדוגמה: נוצרה כדי לעבור את בדיקות המוניטין

החצי הנסתר: ארבע דרכים שבהן ההוראות מוברחות

מה שהזריקות היו אמורות לעשות

מה מבוסס, ומה לא

ההקלות ש-Barracuda ממליצה עליהן

למה כדאי לשמור את הרשומה

מוצר

משאבים

לספקים

הצטרפו לקהילה שלנו

מהבלוג

ספקי מודלים