לא פריצה, לא דלת אחורית, לא ריגול תעשייתי קלאסי — פשוט 3,500 חשבונות משלמים ששאלו את קלוד את אותה שאלה בדיוק, שלושה מיליון פעמים ביום.
יש משהו כמעט משפיל בסיפור הזה, אם אתם אנת'רופיק. חברה ששורפת מיליארדים על אימון מודלי חזית, מגלה שהמתחרים שלה לא צריכים לפרוץ אליה, לגנוב משקולות או לשתול מישהו בפנים. הם פשוט נרשמו כלקוחות, שילמו בכרטיס אשראי, ושאלו את קלוד את אותה שאלה שוב ושוב עד שהיה להם מספיק חומר כדי לאמן מודל משלהם. בדוח שפרסמה ביום חמישי, אנת'רופיק מתארת כ-200 מיליון שיחות שיוחסו לחמישה מבצעי "זיקוק" (distillation) נפרדים של חברות AI סיניות — חלק מדוח רחב יותר שמסכם פעילות זדונית שהחברה זיהתה וחסמה בין דצמבר 2025 לאוגוסט 2026, בשבעה תחומים שכוללים גם מבצעי סייבר, השפעה, מעקב והונאה.
המבצע הגדול ביותר יוחס לעליבאבא, ולפי אנת'רופיק זהו מאמץ הזיקוק הסיטונאי הגדול ביותר שהיא ראתה אי פעם: 151 מיליון שיחות בין מאי ליולי 2026, בשיא כמעט שלושה מיליון שיחות ביום, פרוסות על פני כ-3,500 חשבונות שונים. מה שקשר ביניהם היה דווקא הפרט הכי משעמם — כולם השתמשו באותו פרומפט קבוע בדיוק, שנועד לחלץ מהמודל את שרשרת החשיבה שלו ולא רק את התשובה הסופית. הפיזור על אלפי חשבונות נועד להיראות כמו תנועה אורגנית; הפרומפט האחיד הוא מה שהסגיר את כולם בבת אחת.
זיקוק הוא טכניקה לגיטימית ומוכרת: מאמנים מודל קטן וזול על הפלט של מודל גדול ויקר, ומקבלים ביצועים גבוהים בשבריר מעלות האימון. הבעיה מתחילה כשהמודל הגדול הוא לא שלכם. הדוח מתאר שני דפוסים נוספים ומטרידים יותר מהעניין המסחרי: מבצע שיוחס ל-Moonshot AI, היצרנית של Kimi, שבו כ-300 אלף בקשות נותבו דרך רשת של כ-5,000 חשבונות בתוך עשרה ימים — ולפי אנת'רופיק, חלקן נראו כמנותבות ישירות מגורמים בצבא הסיני. במקרה של DeepSeek, אנת'רופיק תיעדה יותר מ-12 מיליון בקשות זיקוק בתוך 14 ימים ביולי, וטוענת שתנועה של לקוחות DeepSeek נותבה אל קלוד בלי שהלקוחות האלה ידעו על כך. אנת'רופיק כותבת שהפרקטיקות האלה "ככל הנראה אינן עולות בקנה אחד עם חוקי פרטיות ועם תנאי השימוש של המעבדות עצמן". טקראנץ' סיקרו את הדוח ביום פרסומו.
הדוח לא נחת בוואקום. יום לפני כן פרסמו ה-NSA, CISA וה-FBI התרעת סייבר משותפת (AA26-251A) שמתארת בדיוק את אותה תופעה בקנה מידה רחב יותר — ומונה שש חברות סיניות: DeepSeek, Moonshot, עליבאבא, MiniMax, StepFun ו-Z.AI. לפי ההתרעה, הקמפיינים פועלים לפחות מסוף 2024, מכוונים לא רק לקלוד אלא גם ל-GPT, ג'מיני וגרוק, וסביר שהם מתרחשים בידיעת הממשל הסיני. משרד המסחר הסיני, מצדו, אמר שאין לטענות האלה "בסיס עובדתי או משפטי". שווה לזכור שזו לא הפעם הראשונה: כבר בפברואר האחרון אנת'רופיק האשימה את DeepSeek, Moonshot ו-MiniMax בניסיונות זיקוק. ההבדל הפעם הוא הסקאלה, ההצמדה לגופי ביטחון אמריקאיים, והמספרים על השולחן.
שתי סיבות, ושתיהן מעשיות. הראשונה: באותו דוח אנת'רופיק מציינת שמפתחות API וטוקני סשן גנובים הפכו לסחורה נסחרת בפני עצמה בשוק השחור — והם נגנבו מהסביבות של לקוחות אנת'רופיק, לא ממערכות החברה עצמה. במילים אחרות, מפתח ה-API שיושב לכם בקובץ קונפיגורציה, במשתנה סביבה בענן או ב-repo פרטי שקצת יותר מדי אנשים ניגשים אליו, הוא היום נכס שמישהו מחפש. לסטארטאפ ישראלי ממוצע שבנוי על שכבת מודל חיצונית, זה הופך רוטציית מפתחות וניטור שימוש חריג מ"משימה לרבעון הבא" למשהו שכדאי לסגור השבוע.
הסיבה השנייה עדינה יותר. מבין ההמלצות שמפרסמות הרשויות האמריקאיות לספקיות המודלים יש אחת שראוי לקרוא פעמיים: לשנות בעדינות את התשובות שמוגשות לחשבונות חשודים, במקום לחסום אותם על הסף. זו הגיון אבטחתי מובן — חסימה מיידית רק מלמדת את התוקף אילו חתימות לשנות. אבל מנקודת המבט של לקוח לגיטימי, זה אומר שאיכות הפלט שאתם מקבלים מ-API עשויה, בתיאוריה, להיות פונקציה של האופן שבו דפוס השימוש שלכם נראה למערכות זיהוי — ולא רק של המודל שבחרתם. חברה שמריצה מיליוני קריאות אוטומטיות עם פרומפט קבוע לחלוטין נראית, בגרף, קצת יותר מדי כמו מבצע זיקוק. זו לא סיבה לפאניקה, אבל זו סיבה טובה לנטר את איכות התשובות שלכם לאורך זמן ולא להניח שהיא קבועה.
ומעבר לכל זה מרחפת השאלה הלא נוחה: אם כל היתרון התחרותי של מודל חזית ניתן לשאיבה בכמה מיליוני קריאות API, כמה זמן באמת נמשך פער של שנה בין מובילה למתחרה? בינתיים, נראה שהתשובה נמדדת בחודשים — ובפרומפט אחד, קבוע.
