2026: השנה שבה הוכח מתמטית שמערכות ההגנה של AI אינן חסינות

המחצית הראשונה של 2026 הייתה תקופת מפנה בתחום בטיחות ה-AI. מספר התפתחויות עצמאיות הוכיחו ביחד שההגנות הקיימות רחוקות מלהיות חדירות. מהוכחה מתמטית של כישלון מערכות הגנה ועד השבתת מודל בהוראת ממשלה, הראיות מצביעות על צורך בחשיבה מחודשת יסודית על האופן שבו אנו מאבטחים מערכות AI מתקדמות.

אין מערכת הגנה סופית שהיא אוניברסלית: ההוכחה של NIST

ההתפתחות המשמעותית ביותר הגיעה מהמכון הלאומי לתקנים וטכנולוגיה (NIST). ב-9 ביוני 2026, NIST הכריזה על הוכחה מתמטית שפורסמה בכתב עת עם ביקורת עמיתים על ידי המדען הבכיר אפוסטול וסילייב, בכתב העת IEEE Security & Privacy (מאי-יוני 2026), שמרחיבה באופן רשמי את משפטי אי-השלמות של קורט גדל למערכות הגנה של AI .

הממצא המרכזי חד משמעי: "אין מערכת סופית של הגנות שהיא חסינה באופן אוניברסלי מפני פרומפטים אדפטיביים" . מכיוון ששפה טבעית היא אינסופית באמביגואיטיות שלה ומערכות הגנה הן בהכרח סופיות, תמיד יהיה פרומפט שיכול לחמוק מזיהוי - לא בגלל הנדסה גרועה, אלא כוודאות מתמטית . NIST ממליצה במפורש שארגונים יעברו ממודל הגנה סטטי מסוג "חד-פעמי" לארכיטקטורת אבטחה מתמשכת של "ניטור ועדכון" .

HMNS: פריצה ברמת המעגל שמשנה ייצוגים פנימיים של המודל

חוקרים מאוניברסיטת פלורידה הציגו טכניקה בשם Head-Masked Nullspace Steering (HMNS), שפועלת ברמת המעגל של מודל טרנספורמר . הטכניקה התקבלה כמאמר בכנס ICLR 2026 . HMNS מזהה ראשי קשב (attention heads) שאחראים סיבתית להתנהגות הבטיחותית של המודל, מדכאת את מסלולי הכתיבה שלהם באמצעות מיסוך עמודות ממוקד, ומזריקה הפרעה המוגבלת למרחב האורתוגונלי של תת-מרחב הסירוב של המודל .

זו אינה פריצה מבוססת פרומפט. על ידי מניפולציה ישירה של הייצוגים הפנימיים של המודל, HMNS משיגה כמעט 99% הצלחה בהתקפות על מודלים כמו LLaMA-3.1-70B עם כ-2 ניסיונות בממוצע, תוך שמירה על שטף הפלט .

סירוב בצ'אט, כתיבה בקוד: פריצת זרימת העבודה של Copilot

מאמר מ-9 ביולי 2026 ב-arXiv, "Refused in Chat, Written in Code", מדגים שסוכני קידוד ב-IDE כמו GitHub Copilot מציגים סירוב כמעט מוחלט תחת צ'אט ישיר, קריאת CSV או תיקון קוד חד-שלבי (רק 8 תגובות מוצלחות מתוך 816) . עם זאת, כאשר אותה מטרה מזיקה מפורקת לשלבים מרובים של זרימת עבודה של פיתוח תוכנה - קריאת קבצים, הרצת סקריפטים, עיבוד קלטי benchmark - המודלים הפיקו תפוקות מזיקות בכל 816 הריצות .

פריצת זרימת העבודה הזו עוקפת את מסנני הבטיחות של שכבת הצ'אט על ידי הצגת מטרות זדוניות כמטלות פיתוח רגילות . במקום לבקש מהמודל "לכתוב קוד זדוני", התוקף מבקש ממנו "לקרוא קובץ, להריץ סקריפט ואז לעבד קלטי benchmark" - רצף שנראה תמים בכל שלב בודד אך משיג את המטרה המזיקה כשהוא מורכב.

התערבות ממשלתית: Anthropic משביתה את Claude Fable 5 גלובלית

ב-12 ביוני 2026, שלושה ימים בלבד לאחר ש-Anthropic השיקה את Claude Fable 5 ו-Mythos 5, מזכיר המסחר האמריקאי הווארד לוטניק שלח מכתב למנכ"ל דריו אמודיי המורה ל-Anthropic להפסיק את הייצוא הגלובלי, תוך שימוש בסעיף בחוק רפורמת בקרת הייצוא משנת 2018 בפעם הראשונה . הטריגר היה פריצה שהתגלתה על ידי חוקרי אמזון שיכלה לגרום ל-Fable 5 לזהות חולשות תוכנה, מה שהעלה חששות לגבי הסחה למודיעין צבאי זר .

מכיוון ש-Anthropic לא יכלה לאמת באופן מהימן את אזרחות המשתמשים בזמן אמת, היא השביתה את שני המודלים עבור כל המשתמשים ברחבי העולם . בקרות הייצוא הוסרו ב-30 ביוני, ו-Fable 5 חזר לשימוש גלובלי ב-1 ביולי 2026, לאחר השעיה של 18 יום . הגישה ל-Mythos 5 שוחזרה לקבוצה של ארגונים אמריקאים .

מה זה אומר עבור אבטחת AI

ארבע ההתפתחויות הללו מתכנסות לאמת אחת: הגנות סטטיות וחד-פעמיות הן בלתי מספקות מיסודן. ההוכחה של NIST קובעת זאת כוודאות מתמטית . HMNS מראה שניתן לנצל זאת ביעילות כמעט מושלמת . פריצת זרימת העבודה של Copilot מדגימה שאפילו מסנני צ'אט חזקים ניתנים לעקיפה כאשר מודלים פועלים כסוכנים . ותקרית Fable 5 מראה שגילוי של פרצות כאלה יכול לעורר התערבות ממשלתית חסרת תקדים .

המסקנה המעשית ברורה: ארגונים חייבים לעבור מהסמכת מודל כ"בטוח" במהלך הפיתוח לניטור, בדיקה ועדכון מתמשכים של ההגנות לאורך כל מחזור החיים של המודל - גישה ש-NIST ממליצה עליה במפורש .