כך נמדד הסיכון האמיתי ממודלי AI: מבחני הסייבר שיקבעו את עתיד הרגולציה
מהערכת ידע תיאורטית לרשת ארגונית מדומה בת 32 שלבים
Photo by Eran Menashri on Unsplash
הוויכוח על הסיכונים הנשקפים ממודלי בינה מלאכותית מתקדמים עובר בהדרגה מעקרונות כלליים למדידה טכנית. במקום לשאול אם מודל מסוים הוא "בטוח", מכוני המחקר הממשלתיים בארצות הברית ובבריטניה מנסים לקבוע מה הוא מסוגל לעשות בפועל: האם הוא יכול לזהות חולשה, לפתח עבורה ניצול, לחדור לרשת ארגונית ולהתקדם באופן אוטונומי לאורך שרשרת תקיפה שלמה.
התשובות לשאלות האלה עשויות להשפיע בעתיד על הגישה למודלים, על הפצת משקולותיהם ועל האופן שבו ממשלות יפקחו על החברות המפתחות אותם.
הדור הראשון של מבחני הסייבר למודלי AI התבסס בעיקר על שאלות ידע ואתגרי Capture the Flag. מבחנים אלה בודקים אם המודל מסוגל לזהות חולשה מוגדרת, לעקוף מנגנון הגנה או לחלץ "דגל" ממערכת פגיעה. אלא שתקיפה אמיתית דורשת הרבה יותר: סריקה, ניצול ראשוני, איסוף הרשאות, תנועה רוחבית, מעבר בין רשתות והתמודדות עם תקלות לאורך עשרות צעדים.
לשם כך פיתח מכון הבטיחות הבריטי לבינה מלאכותית, UK AISI, סביבות ניסוי המדמות רשתות אמיתיות. אחת מהן, The Last Ones, היא רשת ארגונית הכוללת כ-20 מחשבים בארבעה סגמנטים ושרשרת תקיפה בת 32 שלבים. לפי החוקרים, מומחה אנושי יידרש לכ-20 שעות כדי להשלים אותה. המודל מקבל גישה ראשונית לרשת, כלי עבודה ותקציב חישוב, ונמדד לפי המרחק שהצליח לעבור ללא התערבות אנושית.
הניסויים מצביעים על שתי מגמות. ראשית, כל דור חדש של מודלים מתקדם יותר מקודמו. שנית, היכולת עולה ככל שמאפשרים למודל להשתמש ביותר משאבי חישוב. מחקר של UK AISI מצא כי הגדלת תקציב ההרצה מעשרה מיליון למאה מיליון טוקנים שיפרה את הביצועים בעד 59%, ללא צורך בהעלאת רמתו הטכנית של המפעיל. כלומר, חלק מהסיכון אינו נובע רק מאיכות המודל, אלא מהאפשרות להפעיל אותו לאורך זמן, לתת לו לנסות שוב ולתקן את עצמו.
הערכת Claude Mythos Preview המחישה את קצב ההתקדמות. המודל הצליח ב-73% ממשימות הסייבר ברמת מומחה, קטגוריה שאף מודל לא הצליח להשלים לפני אפריל 2025. הוא גם היה הראשון שהשלים את כל 32 השלבים של The Last Ones, בשלושה מתוך עשרה ניסיונות, ובממוצע עבר 22 שלבים. עם זאת, הוא נכשל בסביבת ניסוי של מערכות בקרה תעשייתיות, כך שהצלחה ברשת IT אינה מעידה בהכרח על יכולת דומה מול מערכות OT.
ביולי 2026 פרסמו UK AISI והמרכז האמריקאי לסטנדרטים ולחדשנות בבינה מלאכותית, CAISI, הערכה משותפת למודל הסיני Kimi K3. המודל השיג 32% במבחן ExploitBench, לעומת 24% למודל הסיני GLM-5.2, אך לא הצליח להשיג הרצת קוד שרירותית באף אחת מ-41 החולשות שנבדקו. מודלי החזית האמריקאיים הגיעו לתוצאה זו ב-20 מקרים בממוצע.
ב-The Last Ones עבר Kimi בממוצע 17 שלבים, לעומת 28.5 במודלים האמריקאיים המובילים, אך באחד מעשרה ניסיונות השלים את המסלול כולו. המשמעות היא שגם מודל הנחשב נחות יחסית מסוגל, בתנאים מסוימים, לתקוף עצמאית ארגון קטן ופגיע. מגבלות המבחן חשובות: אין בו צוות הגנה פעיל, אין ענישה על פעולות רועשות שמערכת ניטור אמיתית הייתה מזהה, וקיים מסלול תקיפה מתוכנן מראש.
המבחנים האלה מעניקים לממשל האמריקאי מנגנון השפעה חדש. CAISI, הפועל תחת NIST במשרד המסחר, אינו רגולטור קלאסי בעל סמכות לאשר או לאסור מודלים. תפקידו הוא לפתח מבחנים ותקנים, לקבל גישה מוקדמת למודלים של OpenAI, Anthropic, Google DeepMind, Microsoft ו-xAI ולהעריך את הסיכונים המוכחים שלהם. בפועל, היכולת לקבוע מהי "יכולת סייבר מסוכנת" עשויה להפוך לבסיס להגבלות הפצה, בקרת יצוא, תנאי רכש ממשלתיים או דרישות גישה מצד המדינה.
אלא שהגוף שאמור לספק את הבסיס המקצועי למדיניות סובל מחוסר יציבות. CAISI הוקם בתקופת ביידן כ-AI Safety Institute, אך ממשל טראמפ שינה את שמו ואת הדגש שלו מבטיחות לסטנדרטים, חדשנות וביטחון לאומי. באפריל הודח קולין ברנס, חוקר לשעבר ב-Anthropic, ארבעה ימים בלבד לאחר כניסתו לתפקיד. מחליפו, כריס פול, התפטר לאחר שלושה חודשים, ללא הסבר פומבי. מנהל NIST, ארווינד ראמאן, מונה לממלא מקום.
הטלטלה חושפת את הסתירה המרכזית במדיניות האמריקאית: הממשל מבקש לפקח מקרוב על המודלים, לקבל גישה ליכולותיהם ולהגביל שימושים הנתפסים כמסוכנים, אך במקביל חושש מתלות במומחים המגיעים מאותן חברות שעליהן הוא מבקש לפקח. ככל שסוכני AI הופכים מכלי ייעוץ למערכות המסוגלות לפעול עצמאית ברשת, מבחני הסייבר אינם עוד מחקר אקדמי. הם הופכים לתשתית שעליה תיבנה הרגולציה, ולזירה נוספת במאבק בין המדינה, חברות הטכנולוגיה והמעצמות המתחרות.