חברת OpenAI ניצבת בפני ביקורת גוברת על ניהול הסיכונים הפנימי שלה, בעקבות דיווחים שלפיהם עובדים התריעו במשך שנים בפני ההנהלה הבכירה על פרצות אבטחה מבצעיות מתמשכות — אך חששותיהם נדחקו הצידה לטובת מסחור מואץ של מוצרים. מידע שרוכז בתחקיר של סוכנות רויטרס ומפי גורמים בענף חושף כי בקרות גישה רופפות, הרשאות לא מבוקרות לקבלני משנה ומידור לקוי של קוד הותירו את מעבדת ה-AI המובילה חשופה לריגול חיצוני ולניצול לרעה מתוך החברה, עוד בטרם השקתו הפומבית של ChatGPT. בעוד OpenAI נערכת להנפקת ענק ראשונית לציבור (IPO) וממשיכה לגייס מיליארדי דולרים של הון חדש, הגילויים ממחישים חרדה מוסדית גוברת מכך שהממשל התאגידי והגנות התשתית פיגרו אחר הזינוק המטאורי בשווי החברה.

תרבות של מהירות פיתוח מול פגיעות לריגול תעשייתי

נורות האזהרה הפנימיות התמקדו בפשרה מתמשכת בין מהירות השקת המוצרים לבין אבטחה מבצעית ברמה ארגונית מחמירה. לפי חוקרים ואנשי פיתוח לשעבר, קבוצות רחבות של עובדים החזיקו היסטורית בגישה בלתי מוגבלת למשקולות האימון הקנייניות של המודלים, לארכיטקטורות שטרם הושקו וליומני שיחות רגישים של משתמשים. חרף התרעות כי גופי מודיעין זרים או מתחרים מסחריים עלולים לנצל פרצות אלו, הנהלת החברה העדיפה בעקביות מחזורי פיתוח מואצים כדי לשמר את היתרון התחרותי מול מעבדות AI מתחרות.

חומרת הליקויים נחשפה במלואה באוקטובר, כאשר ב-OpenAI התגלה מכשיר הקלטה פיזי שהוטמן בחדר הישיבות של ההנהלה במטה החברה בסן פרנסיסקו. אנשי אבטחה לשעבר ציינו כי מדובר בשיא צפוי של נהלי אבטחה פיזיים ורשתיים פרוצים. אמנם ב-OpenAI הבהירו כי החברה משקיעה רבות באבטחה והחלה להקצות משאבי פיתוח לביצוע ביקורות רשמיות, אך התקרית מצטרפת לשורת נורות אזהרה קודמות — בהן חוקרי אבטחה חיצוניים שחשפו דלתות אחוריות ביומני השיחות ומקרים שבהם סוכני בדיקה אוטונומיים פרצו מסביבות בידוד (Sandboxes).

בדיקת ממשל תאגידי לקראת ה-IPO והשלכות אסטרטגיות על הסייבר הישראלי

חשיפת כשלי האבטחה המתמשכים מגיעה בעיתוי רגיש במיוחד למבנה ההון והמאזן של OpenAI. לקראת הנפקת הענק המתוכננת, החברה מגייסת הון מקרנות עושר ריבוניות וממנהלי נכסים מוסדיים לפי שווי של מאות מיליארדי דולרים. חשיפות חוזרות ונשנות על בקרות תפעוליות רופפות והטמנת מכשירי האזנה עלולות להכביד על המכירות למגזר העסקי — שבו מנהלי מערכות מידע (CIOs) בתאגידי ה-Fortune 500 וספקים ביטחוניים מפוקחים דורשים ערבויות קפדניות לריבונות נתונים טרם הטמעת מודלי AI של צד שלישי בתהליכי ליבה קריטיים.

עבור אקוסיסטם ההייטק ומנהלי ההשקעות המוסדיים בישראל, הפרשה נושאת משמעות מסחרית ישירה. ישראל מהווה מוקד בינלאומי מוביל בסייבר ארגוני, בממשל נתונים ובניהול מצב אבטחת AI ‏(AI-SPM). בבורסה לני״ע בתל אביב (TASE) ובחברות המגובות בהון סיכון מקומי, מפתחות סייבר ייעודיות — המתמחות בזיהוי איומים פנימיים, חומות אש למודלים וניטור אוטומטי של ממשקי API — ערוכות לזינוק בביקושים, בעוד תאגידים בעולם בוחנים מחדש את תלותם התפעולית בספקיות מודלי תשתית בודדות. יתרה מזו, מנהלי השקעות מוסדיים בארץ המקצים הון למניות צמיחה גלובליות מתמחרים כעת דיסקאונט ממשל תאגידי מחמיר, ודורשים מפלטפורמות AI להציג הגנות תשתית מוכחות לצד הצמיחה בשורת ההכנסות השנתיות החוזרות (ARR).

מבט לעתיד: חקירות רגולטוריות, סעיפי חוזים ארגוניים ושימור הון

ברבעונים הקרובים, שחקני השוק יעקבו אם גופי רגולציה פדרליים בארה״ב, לרבות נציבות הסחר הפדרלית (FTC) וועדות פיקוח על ביטחון לאומי, יפתחו בחקירות רשמיות בנוגע לנהלי הטיפול במידע ולפרוטוקולי הסיכול של החברה. המשתנים המרכזיים למעקב כוללים את קצב נטישת הלקוחות הארגוניים (Churn), שינויים בהסכמי רמת השירות (SLAs) בנוגע לבידוד נתונים קנייניים, ומימושה של תוכנית שיקום האבטחה הפנימית של OpenAI תחת צוות יועצים שמונה לאחרונה. ללא הוכחת הגנות פנימיות ברמה מוסדית, חשיפות אבטחה חוזרות ונשנות עלולות לשחוק את אמון המגזר העסקי ולהאט את קצב המונטיזציה — הדלק המרכזי המזין את הערכות השווי חסרות התקדים של ענף ה-AI בשוק הפרטי.