שיתוף פעולה בין מוזילה ואנתרופיה חשף מספר יוצא דופן של פגיעויות קריטיות בפיירפוקסזה שינה באופן דרמטי את השיח על אבטחת דפדפני אינטרנט. מה שנראה עד לאחרונה כמדע בדיוני - בינה מלאכותית המסוגלת לסקור כמויות אדירות של קוד ולמצוא באגים שלא התגלו במשך שנים - מתחיל להפוך למציאות מעשית.
תוך מספר שבועות בלבד של בדיקות פנימיות, מודל המיתוס מאת אנתרופיק היא הצליחה לזהות מאות תקלות שלא זכו לשים לב על ידי מהנדסים, כלי ביקורת מסורתיים ומערכות ערמומיות. ביניהם היו באגים שנקברו במשך יותר מ-10 או אפילו 20 שנה, חלקם ברכיבים רגישים כמו ארגז חול של הדפדפן.
קפיצה כמותית ואיכותית בגילוי תקלות
לפי התיעוד ששיתפה מוזילה, הגעתו של מיתוס סימנה קפיצה של יותר מפי עשרה במספר הפגיעויות שהתגלו בהשוואה למודלים הקודמים של Anthropic, במחזורי פיתוח קודמים, כלים כמו Claude Opus 4.6 איתרו כמה עשרות באגים קריטיים; עם Mythos, המספר זינק ל-271 פגיעויות מאושרות בסבב אחד של ניתוח Firefox.
שינוי זה בא לידי ביטוי גם בנתוני התחזוקה של הדפדפן: באפריל 2026 בלבד, פיירפוקס פרסמה 423 תיקוני באגים, בהשוואה ל-31 שנרשמו באותו חודש בשנת 2025. לא כל התיקונים הללו מגיעים ישירות מ-Mythos, אך Mozilla מקשרת חלק ניכר מהעלייה לאופן העבודה החדש עם בינה מלאכותית.
מהנדסי הארגון התעקשו כי אלו אינן נקודות תורפה שהן "בלתי אפשריות" עבור מומחה אנושי.אלא בעיית קנה מידה. חוקר ברמה גבוהה היה יכול למצוא רבים מהם, אך לא במהירות או בנפח שמאפשר מודל שחוצה מיליוני שורות קוד ומציע באופן שיטתי מקרי בדיקה.
בהקשר זה, מומחים טכניים כמו בובי הולי, מנהל הטכנולוגיה הראשי של מוזילה, ובריאן גרינסטד, מהנדס מכובד, מתארים את החוויה בביטויים רבי עוצמה: הדינמיקה של ציד חרקים השתנתה תוך חודשים ספוריםהודות למודלים בעלי יכולות גבוהות יותר ולכיוון עדין של אופן שילובם בזרימות עבודה פנימיות של אבטחה.
עבור אלו העוקבים אחר התפתחות אבטחת הסייבר באירופה, לשינוי זה יש השלכות ברורות: פרויקטים בקוד פתוח או חברות אירופאיות עם משאבים מוגבלים יוכלו להסתמך על טכניקות דומות כדי להעלות את רמת ההגנה שלהם לסטנדרטים שלפני מספר שנים היו שמורים לחברות טכנולוגיה גדולות.
פגיעויות קריטיות: מארגז חול ועד שגיאות HTML
אחד ההיבטים שמשכו יותר מכל את תשומת הלב של הקהילה הוא מיתוס הצליח לזהות פגמים בחומרה גבוהה בארגז החול של פיירפוקסהמנגנון פועל כ"שכבת בידוד" כדי להגביל נזק כאשר תהליך דפדפן נפגע. שינוי בחלק זה של המערכת אינו פשוט במיוחד.
מוזילה הסבירה שכדי לחשוף חולשות מסוג זה, הבינה המלאכותית הייתה צריכה לעבור תהליך רב-שלביהתהליך כרוך ביצירת תיקון לדפדפן, יישום שינוי זה על גרסה שעברה שינוי, ולאחר מכן ניסיון לנצל את החלק המוגן ביותר של התוכנה באמצעות הקוד שעבר שינוי. רצף זה דורש שילוב של יצירתיות, דיוק ואימות קפדני.
הקושי נמדד גם במונחים כלכליים. תוכנית התגמולים של מוזילה מציעה עד 20.000 דולר הפרס הגבוה ביותר בתוכנית פרס הבאגים שלהם מוענק לאלו שמצליחים לגלות פגיעות בארגז החול של פיירפוקס. למרות זאת, הצוות מכיר בכך שכמות הבעיות בארגז החול ש-Mythos חושף עולה בהרבה על מה שהושג היסטורית על ידי חוקרים אנושיים.
מעבר לארגז החול, בינה מלאכותית חשפה גם באגים ארוכי טווח באזורים קריטיים אחרים של הדפדפן.בין הדוגמאות ש-Mozilla עצמה פרסמה נמצאת שגיאה של כ-15 שנים בפירוש אלמנט HTML, הקשורה לטיפול באלמנט. <legend>, ופגם נוסף במנוע XSLT עם כשני עשורים של קוד, המסוגל לגרום למצבי זיכרון מסוכנים בנסיבות ספציפיות מאוד.
סוגי פגיעויות אלה, המשלבים מורכבות טכנית גבוהה עם השפעה פוטנציאלית על מיליוני משתמשים, הם רגישים במיוחד לשווקים כמו ספרד ואירופהכאשר פיירפוקס מתחזק בסיס משתמשים רלוונטי בסביבות ביתיות, חינוכיות ומנהליות ציבוריות.
271 פגיעויות לעומת 22: מיתוס משנה את היקף הבעיה
הנתונים שעלו משיתוף הפעולה בין מוזילה לאנתרופיק מאפשרים השוואה ברורה: עם דור קודם של מודלים אנתרופיים, זוהו 22 נקודות תורפה קריטיות. במחזור סקירה אחד; עם Mythos, המספר עלה ל-271 כשלים שתועדו ואומתו.
מאותו סט, הרוב המכריע תאם לפגיעויות בחומרה גבוההכאשר מספר קטן יותר מסווג כבעלי חומרה בינונית או נמוכה. בפועל, משמעות הדבר היא שרבות מהשגיאות הללו ניתנות לניצול באמצעות התנהגות משתמש לכאורה תמימה, כגון ביקור באתר אינטרנט שנוצר במיוחד.
מוזילה מסבירה ש הפגיעויות נעו בין פגמים בניתוח HTML ועד בעיות במנגנוני ארגז חול (sandbox).כולל תנאי מרוץ הקשורים לתקשורת בין תהליכים. כמה באגים אפשרו, למשל, מניפולציה של מוני הפניות ב-IndexedDB כדי לנסות להימנע ממגבלות ארגז החול.
הארגון מכיר בכך רבים מהבאגים הללו היו נשארים רדומים במשך שנים ללא עזרת הבינה המלאכותית.במערכת אקולוגית שבה דפדפנים הם השער לשירותי בנקאות, נהלים אדמיניסטרטיביים או כלי עסקיים ברחבי האיחוד האירופי, צמצום חלון החשיפה הזה הוא המפתח לבלימת סיכונים.
בהינתן תרחיש זה, קולות מתחום אבטחת הסייבר מציינים כי יכולות הניתוח העצומות של מיתוס מייצגות שינוי מבני.מה שבעבר דרש שבועות או חודשים של ביקורת ידנית על ידי מומחים, ניתן כעת לדחוס לימים של ניתוח אוטומטי הנתמך על ידי מודלים מתקדמים.
תהליך היברידי: בינה מלאכותית מוצאת שגיאות, בני אדם מתקנים אותן
למרות ההתקדמות, מוזילה הבהירה כי היא אינה מאצילת את התיקון האוטומטי של פגיעויות לבינה מלאכותית.מיתוס אחראי על מעקב אחר הקוד, זיהוי דפוסים חשודים והצעת תיקונים, אך החלק האחרון של העבודה עדיין נופל על מהנדסים בשר ודם.
בפועל, ההליך הוא כדלקמן: הבינה המלאכותית מייצרת דוח מפורט של כל תקלה, עם תיאורים טכניים ומקרי בדיקה הניתנים לשחזור.משם, מפתח אנושי כותב את התיקון הסופי ומהנדס אחר סוקר אותו. תהליך בדיקה כפולה זה נועד להפחית את הסיכון להכנסת באגים חדשים בעת תיקון באגים ישנים.
מפתחי פיירפוקס מודים שכפי שהדברים עומדים, הם לא מצאו דרך אמינה להפוך את פריסת התיקונים שנוצרו כולם על ידי בינה מלאכותית לאוטומטית.הם מעדיפים להשתמש בקוד שהציע Mythos כמקור, כמעין טיוטה שמזרזת את העבודה, אך לא כפתרון סגור מוכן להגיע למשתמש הקצה.
הבחנה זו מסייעת להפריד בין שני דיונים שלעתים קרובות מתערבבים זה בזה. מצד אחד, בינה מלאכותית מוכיחה את עצמה כיעילה מאוד בהרחבת ה"רדאר" של צוותי אבטחהכדי להפחית תוצאות חיוביות שגויות ולתעדף ממצאים. מצד שני, יכולתו לייצר באופן אוטומטי קוד באיכות תעשייתית נותרה מוגבלת ודורשת ניטור אינטנסיבי.
מבחינה ארגונית, זה מצביע על עתיד מיידי שבו אבטחה מסתמכת על מודל מעורבבינה מלאכותית מטפלת בעבודה הקשה של חקר ויצירת השערות, בעוד שמומחים אנושיים מקבלים את ההחלטות הקריטיות לגבי מה לתקן, כיצד ובאיזה סדר.
כך עובד צינור האבטחה עם Mythos בפיירפוקס
כדי להגיע לנקודה זו, מוזילה לא רק העבירה את הקוד שלה למודל וחיכתה לתוצאות. הארגון הקים מערכת ביקורת המשלבת את Mythos עם תשתית הבדיקות וה-fuzzing האוטומטיות הקיימת שלו., מפזר את עומס העבודה על פני מספר מכונות וסביבות בדיקה.
התהליך מסתמך על הארכיטקטורה המודולרית של פיירפוקס: מבנה מבוסס רכיבים זה מקל על בינה מלאכותית לנתח בלוקי קוד מוגדרים היטב.הפעל מקרי בדיקה ספציפיים והחזר דוחות שניתן לאמת אותם מהר יותר על ידי צוותים אנושיים.
מיתוס פועל כאודיטור יסודי ש הוא סוקר מיליוני שורות קוד, מייצר קלט זדוני או קיצוני, ובוחן כיצד הדפדפן מגיב.כאשר הוא מזהה התנהגות חריגה - גלישה, פגיעה בזיכרון, מצב מרוץ - הוא מתעד אותה ומציע דרך פעולה.
במקביל, בינה מלאכותית עצמה מסננת חלק גדול מהתוצאות החיוביות השגויות שהציפו באופן היסטורי את צוותי האבטחה.בעבר, כלים רבים יצרו כל כך הרבה התראות לא מועילות עד שהזמן שהוקדש לבדיקת דוחות עלה בהרבה על התועלת. במודלים הנוכחיים, חלק מהסינון הזה נעשה באופן אוטומטי.
התוצאה הייתה מאמץ קולקטיבי ניכר: יותר ממאה אנשים ממוזילה השתתפו בתיקון הפגיעויות שזוהו., עם תיקונים המופצים על פני גרסאות דפדפן שונות (כולל מהדורות ביניים כגון 149.0.2, 150.0.1 או 150.0.2) כדי לסגור פערים בהקדם האפשרי.
יתרון הגנתי וסיכון דו-שימושי באבטחת סייבר
הופעתם של כלים כמו מיתוס מעלה שאלה מהותית: האם יכולות אלו יטה את הכף לטובת אלו המגנים על מערכות או אלו המבקשים לשבור אותן? לא מוזילה ולא אנתרופיק מציעות תשובה חד משמעית, אך הן מצביעות על כמה אלמנטים מרכזיים.
מצד אחד, האחראים, כמו דריו אמודיי, מנכ"ל אנתרופיק, שומרים על השקפה אופטימית יחסית. הטענה שלהם היא שיש מספר מוגבל של באגים שניתן לגלות בקוד נתון, ושאם הכלים החדשים ינוהלו באחריות, הם יוכלו לאפשר "ניקוי" של חלק גדול מאותן פגיעויות שנצברו במהלך השנים.
מצד שני, מומחים ואנשי אבטחה במוזילה מזהירים כי אותן שיטות המשמשות לאיתור ותיקון פגיעויות ניתנות לשכפול למטרות התקפיות.כמו קמפיינים של הרחבות זדוניותלמרות ש-Anthropic שמרה על Mythos בתוכנית גישה מוגבלת ומיישמת מדיניות גילוי אחראי, אין ערובה לכך שגורמים זדוניים אינם מתנסים בטכניקות דומות.
בפועל זה אומר את זה המירוץ בין התוקפים למגינים נכנס לשלב חדשאם ארגון יכול להשתמש בבינה מלאכותית מתקדמת כדי לגלות מאות שגיאות תוך ימים ספורים, קבוצה בעלת מניעים פליליים תוכל לנסות להשתמש במודלים דומים כדי לאתר פגמים הניתנים לניצול ביישומים, שירותים פיננסיים או תשתיות קריטיות.
עבור מרקם העסקים האירופי - כולל סטארט-אפים, חברות טכנולוגיה קטנות ובינוניות וחברות תוכנה מבוססות -, המסר ברור: לא מספיק לפתח "קוד מאובטח באופן סביר"היתרון התחרותי יהיה תלוי יותר ויותר בתהליכי זיהוי ותיקון מהירים יותר בהשוואה למתחרים (ואל אלו של תוקפים פוטנציאליים).
השפעה על חברות ויזמים בספרד ובאירופה
בשווקים כמו ספרד או האיחוד האירופי בכללותו, שבהם תקנות אבטחת הסייבר הולכות ומחמירות. עם סטנדרטים כמו NIS2 וחוק חוסן הסייבר הקרוב, המקרה של פיירפוקס ומיתוס עובד כמעט כתצוגה מקדימה של מה שמצופה מהמגזר.
חברות אירופאיות רבות, במיוחד חברות בינוניות, הם פועלים עם ציוד בטיחות מופחת אשר מתקשים לסקור בסיסי קוד גדולים ברמת הפירוט הנדרשת על ידי ביקורות מודרניות. הניסיון של מוזילה מצביע על כך שמינוף מודלים ייעודיים של בינה מלאכותית יכול להפוך למרכיב מפתח בעמידה בתקנים רגולטוריים.
עבור סטארט-אפים ומפתחים הבונים מוצרים דיגיטליים בספרד, שילוב ביקורות המונעות על ידי בינה מלאכותית במחזור חיי התוכנה מתחיל להיתפס פחות כאופציה ויותר כצורך.זה לא רק עניין של מניעת אירועים, אלא גם של הדגמה ללקוחות, משקיעים ושותפים שקיימים תהליכים חזקים לגילוי ותיקון פגיעויות.
זה קורה, בין היתר, משום לחשוב מחדש על ארכיטקטורת המוצר כדי להקל על ניתוח אוטומטיבידוד רכיבים קריטיים (אימות, טיפול בנתונים רגישים, ממשקי API חשופים) והכנת צינורות אינטגרציה רציפים שבהם כל שינוי קוד יוכל לעבור סקירת אבטחה בסיוע בינה מלאכותית.
זה גם מאלץ אותנו לחשוב על הסיכונים של שימוש כפול בכלים אלהכל ארגון המטפל במידע רגיש במיוחד יצטרך להעריך לא רק כיצד הוא מרוויח מבינה מלאכותית, אלא גם כיצד הוא מגן על המודלים, הצינורות והממצאים שלו מפני גישה בלתי מורשית.
מה שקרה עם מיתוס ופיירפוקס מראה ש בינה מלאכותית כבר אינה מרכיב שולי באבטחת תוכנהאלא חלק מרכזי שמגדיר מחדש הן את האופן שבו נמצאות שגיאות והן את האיזון בין אלו המגנים על מערכות לבין אלו המנסים לפגוע בהן.
