מי משגיח על הסוכן? בודקים חיצוניים מצאו חורים במערכת הניטור של OpenAI

עובדות — מה קרה

ב־22 באוקטובר 2026 פרסמו METR ו־Redwood Research תקציר של תרגיל בן שלושה שבועות שביצעו בתוך OpenAI. עובד אחד מכל ארגון קיבל גישה לקוד פנימי, להגדרות של מנגנוני הניטור, למסמכים ולראיונות עם כתריסר אנשי מחקר, אבטחה ובטיחות. המטרה הייתה לבדוק האם המערכת שמפקחת על סוכני קוד פנימיים רואה את הפעילות שאמורה להיבדק — והאם סוכן יכול להשבית, לעקוף או לבלבל אותה.

התרגיל נערך בין 21 ביולי ל־11 באוגוסט והפיק דוח פנימי בן 61 עמודים. לציבור פורסם רק סיכום מצומצם, לאחר ש־OpenAI הורשתה לצנזר פרטים רגישים. לכן זהו מבחן חיצוני עמוק יותר מסקירת מוצר רגילה, אבל לא שקיפות מלאה ולא ביקורת של המערכת כפי שהיא פועלת היום.

עובדות — מה מצאו הבודקים

לפי ההערכה שלהם, בזמן הבדיקה כ־75% עד 94% מהתעבורה הפנימית הרלוונטית ב־Responses API הייתה זכאית להישלח לניטור, עם אי־ודאות משמעותית לשני הכיוונים. בתת־הקבוצה של סוכני Codex פנימיים ההערכה הייתה 99.2%. זכאות לניטור אינה הוכחה שכל בקשה עברה את כל שרשרת הבדיקה, מפני שתקלות, עומס או שגיאות יישום עלולים לעצור אותה בדרך.

פער מרכזי היה קשור לאירועי דחיסה, שבהם ההקשר של משימה ארוכה מתקצר. הבודקים העריכו שבין מאי ליולי סדר גודל של 10% מהתעבורה הזכאית של Codex הפנימי לא נבדקה בגלל הפער הזה, אך הדגישו שהמספר אינו מדויק. אנשי OpenAI זיהו את הבעיה עוד לפני תחילת התרגיל ותיקנו אותה במהלכו.

הצוות מצא גם דרך אפשרית לעקוף את סביבת הבידוד ואת Auto-Review, פרצה שיכלה להסתיר מאות פעולות אחרונות, הבדלים באופן שבו הסוכן והניטור רואים מידע, ושתי כותרות בקשה שיכלו להשבית ניטור עבור מופע חדש. שני כלים פנימיים שסומנו לקריאה בלבד נמצאו ככאלה שאולי ניתן להסב לפעולות רחבות יותר; החוקרים לא אימתו שהתרחיש הזה היה ניתן לניצול בפועל.

עובדות — מה תוקן ומה עדיין לא ידוע

OpenAI מסרה שכל הפרצות שמצאו החוקרים ושמשפיעות על מערך ההגנה בייצור תוקנו, והוסיפה שהממצאים חיזקו את אמצעי הבטיחות שלה. METR ו־Redwood מציינים שלא בדקו מחדש את התיקונים ולא קבעו מהו הכיסוי הנוכחי של המערכת המורחבת. Reuters אימתה את עצם הבדיקה, את טענת התיקון ואת העובדה שהאימות החיצוני החוזר טרם נעשה.

הפרסום אינו שינוי מוצר לציבור: לא הוכרזו מחיר, מסלול, מדינה או זכאות חדשים ל־ChatGPT או ל־Codex. הוא גם אינו מוכיח שסוכן תקף לקוח או ניצל את הפרצות בעולם האמיתי. הממצאים מתארים מערכת פנימית היסטורית כפי שפעלה ב־21 ביולי או לפניו.

ניתוח PRESS AI — למה זה חשוב לעסק

המסקנה המעשית אינה שצריך להפסיק להשתמש בסוכנים, אלא שאסור לבנות על שכבת ניטור אחת כאילו היא ביטוח מוחלט. אם אותו תהליך גם מבצע פעולה וגם משפיע על המידע שמחליט אם לבדוק אותה, נוצרת נקודת כשל. זה נכון במעבדת AI, אבל גם בעסק שמאפשר לסוכן לקרוא דואר, לעדכן CRM, להריץ קוד או להכין תשלום.

ניטור הוא מוצר בפני עצמו: צריך לדעת אילו פעולות נרשמות, מי מקבל התרעה, מה קורה כשהניטור נופל, וכיצד מוודאים שהיומן לא ניתן לשינוי בידי הסוכן. ככל שהאוטומציה מקבלת יותר הרשאות, כך חשוב יותר להפריד בין סביבת הביצוע, מערכת הבקרה והאדם שמאשר פעולה בלתי הפיכה.

עובדות וגבולות — מה זה לא אומר

הדוח לא מצא שסוכני Codex ניצלו בפועל את כל הדרכים שתוארו, ולא בדק חשבונות של לקוחות או התקנה ישראלית. הוא גם לא מאפשר לחשב שיעור סיכון למשתמש רגיל. חלק מהמספרים הם אומדנים של הבודקים, והדוח הציבורי משמיט פרטים שנחשבו רגישים. מנגד, העובדה שמדובר במערכת ישנה אינה מבטלת את הלקח: טענת תיקון זקוקה לבדיקה חוזרת, ולא רק להצהרת הספק.

ניתוח PRESS AI — מה כדאי לעשות עכשיו

אם סוכן AI עובד אצלכם עם מערכות אמיתיות, התחילו בשלוש שכבות: הרשאות מינימליות לכל משימה, יומן פעילות נפרד שאינו בשליטת הסוכן, ואישור אנושי לפני מחיקה, שליחה חיצונית, תשלום, שינוי הרשאות או פרסום. הגדירו גם מצב בטוח: אם הניטור אינו זמין, הפעולה נעצרת במקום להמשיך בשקט.

בפיילוט כדאי למדוד לא רק כמה זמן נחסך, אלא כמה פעולות חסרו ביומן, כמה התרעות היו שגויות וכמה פעמים אדם עצר פעולה. אחת לרבעון נסו בכוונה תרחישים בעייתיים בסביבה מבודדת ובדקו אם הבקרה תופסת אותם. לעסק קטן אין צורך לשכפל מעבדת בטיחות, אך כן צריך לדעת מי משגיח על הסוכן — ומי משגיח על המשגיח.

ניתוח PRESS AI — שורה תחתונה

החדשות החשובות הן כפולות: בודקים חיצוניים קיבלו גישה נדירה ומצאו פערים אמיתיים, ו־OpenAI אומרת שתיקנה את מה שנוגע לייצור. עד לאימות חוזר, שתי העובדות צריכות לעמוד זו לצד זו. לעסקים, האחריות אינה לבחור בין התלהבות לפחד — אלא לבנות אוטומציה עם הרשאות צרות, תיעוד עצמאי ואדם שמסוגל לעצור אותה.