OpenAI השיקה מודל שמוצא פרצות אבטחה: GPT-5.6-Cyber כבר גילה שתי חולשות לא ידועות בכרום (אוגוסט 2026)

STSICONIC היא חברת הטמעת AI לארגונים בישראל. אנחנו מאחדים את כל המערכות שלך למערכת אחת ועושים סדר בעסק.

OpenAI השיקה ב-10 באוגוסט 2026 מודל בינה מלאכותית בשם GPT-5.6-Cyber שמתמחה באיתור פרצות אבטחה, וכבר בשימושים הראשונים החברה מצאה איתו שתי חולשות שאיש לא הכיר במנוע JavaScript של דפדפן Chrome, חולשות שגוגל מיהרה לתקן תחת המזהה CVE-2026-15903. ההשקה מגיעה במסגרת תוכנית ההגנה של OpenAI בשם Daybreak, וסביבה מתנהל כבר עכשיו ויכוח על הקו הדק שבין כלי הגנה לכלי תקיפה.

המספר שמסביר למה זה גדול: לפי OpenAI, GPT-5.6-Cyber משלים 95.0% מהבקשות במבחן פנימי לשיעור השלמת משימות סייבר מתקדמות (Advanced Cybersecurity Completion Rate), לעומת 1.5% בלבד במודל הכללי GPT-5.6 Sol שממנו הוא נגזר. במילים אחרות, המודל הרגיל מסרב כמעט תמיד לעבודת אבטחה רגישה, והגרסה החדשה עושה כמעט את כל העבודה. (מקור: Axios, אוגוסט 2026)

STSICONIC (אס טי אס אייקוניק) היא חברת הטמעת AI לעסקים ולארגונים בישראל, אנחנו מאחדים את כל המערכות שלך למערכת אחת ועושים סדר בעסק, מחברות קטנות ועד ארגונים גדולים. הכתבה הזו מסבירה בפשטות מה בדיוק OpenAI שחררה, למה זה נוגע לכל אחד שיש לו דפדפן וסיסמה, ומה עדיין לא ברור בסיפור. אם אתם רוצים להבין איך הטמעת AI בארגונים ובעסקים נראית בפועל, זו נקודת פתיחה טובה.

מה בעצם קרה: תוכנית Daybreak משנה שיטה

עד היום מודלים כמו GPT-5.6 סירבו לרוב הבקשות שנשמעו כמו פריצה, גם כשמי ששאל היה חוקר אבטחה לגיטימי שמנסה להגן על ארגון. OpenAI פיצלה עכשיו את תוכנית Daybreak לשתי דרגות גישה נפרדות, ולכל אחת קהל וכללים משלה. הרעיון הוא לפתוח את הכלים החזקים באמת רק למי שעבר בדיקה ואישור, במקום לחסום את כולם או לפתוח לכולם.

הדרגה הראשונה, Daybreak Blue, מיועדת למגני סייבר מאושרים. הם מקבלים גישה למודלים כלליים חזקים שבהם הוסרו חלק מבלמי הבטיחות סביב שאלות אבטחה, כדי שיוכלו לגלות חולשות, לבצע סקירת קוד מאובטח, לנתח תוכנות זדוניות ולהגיב לאירועי אבטחה. הדרגה השנייה, Daybreak Red, היא הדרך היחידה להגיע ל-GPT-5.6-Cyber עצמו, מודל שאומן במיוחד לעבודת סייבר התקפית והגנתית עבור מחקר חולשות ואימות של דרכי ניצול, וזאת רק במסגרת מורשית.

רגע, מה זה חולשת zero-day ולמה זה מלחיץ

חולשת zero-day היא באג אבטחה בתוכנה שאף אחד עדיין לא יודע עליו, גם לא היצרן שכתב את התוכנה. השם רומז שליצרן היו אפס ימים להיערך, כי החולשה מתגלה או מנוצלת לפני שהוא בכלל מודע לה. זו בדיוק סוג החולשה שהכי שווה כסף לתוקפים, כי אין עדיין תיקון שחוסם אותה.

אפשר לחשוב על זה כמו על דלת אחורית בבניין שאיש מהדיירים לא יודע שהיא קיימת. מי שמגלה אותה ראשון קובע את הכללים: אם זה גנב, הוא נכנס בשקט. אם זה שומר, הוא סוגר אותה לפני שמישהו מנצל. GPT-5.6-Cyber הוא כלי שיודע לחפש דלתות כאלה מהר מאוד, וזו בדיוק המתיחות שהמומחים מדברים עליה. אותה יכולת שמאפשרת לצוות הגנה לסגור פרצה, מאפשרת גם לתוקף למצוא אותה. זו הסיבה ש-OpenAI מגבילה את הגישה למקצועני אבטחה שעברו אימות בלבד. (מקור: Quartz, אוגוסט 2026)

המתח הזה נקרא שימוש כפול (dual-use): אותו כלי משרת גם הגנה וגם תקיפה, בדיוק כמו סכין מטבח או תרופה חזקה. מעניין שזו מגמה חוצת חברות. לא מזמן גם Anthropic הפחיתה סירובים בשאלות רגישות במודל שלה תוך שמירה על חסימות ליבה, ואפשר לקרוא על כך במאמר שלנו על השינוי במודל של Anthropic.

שתי הדרגות של Daybreak, אחת מול השנייה

מה עדיין לא ברור

OpenAI מדגישה שהגישה נשארת סגורה ומאושרת, אבל היא לא מפרטת עד הסוף מה קורה אם היכולות האלה יגיעו לידיים הלא נכונות. כל מנגנון הבטיחות כאן נשען על תהליך אימות של המשתמשים, ואימות אף פעם אינו מושלם. אין גם מספרים פומביים על כמה חולשות אמיתיות התגלו מעבר לשתי החולשות ב-Chrome, ולא ברור באיזה קצב יורחב המעגל של מי שמורשה להשתמש בכלי. אלו שאלות פתוחות שכדאי לעקוב אחריהן.

למה זה משנה לכל אחד

• הדפדפן שלכם נעשה בטוח יותר בזכות AI: שתי החולשות שהמודל מצא ב-Chrome תוקנו על ידי גוגל, כך שכל מי שגולש נהנה מהגנה טובה יותר גם בלי לדעת שזה קרה.
• מירוץ החימוש בסייבר עולה שלב: כשגם מגינים וגם תוקפים מקבלים AI חזק, ההגנה על החשבונות, הסיסמאות והמידע הפרטי שלכם הופכת למשחק מהיר יותר, ועדכוני אבטחה הופכים לחשובים אף יותר.
• מקצוע חוקר האבטחה משתנה: מי שעובד באבטחת מידע לא מוחלף על ידי הכלי, אלא מקבל עוזר שסורק קוד מהר. עבור סטודנטים ומחליפי מקצוע זו תזכורת שידע בסייבר בשילוב AI הופך למבוקש עוד יותר.
• עדכנו תוכנה מיד: הלקח המעשי לכל אחד, כולל פרילנסרים ועובדים, הוא פשוט: כשמגיע עדכון אבטחה לדפדפן או לטלפון, מתקינים אותו מהר. הרבה חולשות נסגרות בדיוק ככה.
• ולמי שמנהל עסק או ארגון: כדאי לוודא שיש נוהל פשוט לעדכוני אבטחה ושמישהו אחראי עליו, כי כלים אוטומטיים חדשים מקצרים את הזמן שבו פרצה נשארת פתוחה.