Drael מריצה את ה-exploit שלך על השרת שלה. זה פגם

Drael מריצה את הקוד שהמודל שלה כותב על השרת של Drael עצמה, ומוכרת את זה בתור הפיצ׳ר. בעבודת אבטחה זה פגם תכנוני. היעד רואה את הכתובת של Drael, הסקופ שלך לא כולל אותה, צעדי הביניים מוסתרים ממך, ולפי התנאים אתה זה שעונה על התוצאה.

הנתונים נאספו ב-9 וב-10 בנובמבר 2026 מהאתר של Drael, מתיעוד הכלים שלה ומהדפים המשפטיים שלה, ומדף התמחור של NotHoly. לא פתחנו חשבון ב-Drael ולא הרצנו את ה-sandbox שלה. כל מה שמופיע בהמשך מצוטט מהדפים הפומביים שלה.

#מה Drael מוכרת

דף הבית מסכם את זה במשפט אחד: "It writes the scanner, the exploit, the fix nothing else will, and the sandbox behind it is real: the network is a flag on the call, not a permanent no." כלומר המודל כותב את הסורק, את ה-exploit ואת התיקון, מאחוריו עומד sandbox אמיתי, והרשת נפתחת בדגל על הקריאה. הכלי נקרא run_code. הוא מריץ Python או bash בקונטיינר על התשתית של Drael, בתוך לולאה בצד השרת של עד עשרה סבבי מודל.

מאפיין של run_code	הערך בתיעוד של Drael
איפה זה רץ	על השרת של Drael, קונטיינר לכל הרצה
רשת	כבויה כברירת מחדל, נדלקת עם network בקריאה
משך	30 שניות כברירת מחדל, 5 דקות לכל היותר
לולאת שרת	עד 10 סבבים; "You never see the intermediate turns"
קבצים	"Files persist across calls in the same session"
מקביליות	"One run at a time" לכל חשבון

הקונטיינר מגן על ה-host של Drael מפני הקוד שלך. ל-host שבצד השני של הדגל network הוא לא עוזר בכלום: אותו host מקבל את אותן חבילות, מכתובת ששייכת ל-Drael.

#של מי ה-IP שמגיע ליעד

של Drael. דף הפרטיות שלה אומר את זה על שליפת דפים: "A page you ask it to fetch sees a request from our server." (דף שביקשת לשלוף רואה בקשה מהשרת של Drael). קוד שרץ בקונטיינר שלה כשהרשת דלוקה יוצא מאותו צד.

צעד	ב-Drael	ב-NotHoly
קריאת דף פומבי	web_fetch, מהשרת של Drael, "including sites behind bot protection"	read_url, דפים פומביים בלבד, דרך יציאה מוגנת מפני SSRF
שליחת תעבורה ל-host	run_code עם network דלוק, מהקונטיינר של Drael	אף כלי בצד השרת לא עושה את זה; ה-CLI מריץ על המחשב שלך, מה-IP שלך, אחרי שאישרת
הגעה ל-.onion	web_fetch דרך Tor	החיפוש מציג תוצאות ולעולם לא פותח את ה-.onion
טיפול בקובץ	מצורף ל-workspace על השרת שבו רץ הקוד של המודל	קבצים שהועלו מנותחים ב-sandbox של gVisor ולעולם לא מורצים
לראות כל צעד	עד 10 סבבי שרת שאתה לא רואה	כל פקודה מגיעה אליך לאישור

ה-blue team של הלקוח עובד מול רשימה של כתובות מקור. תעבורה מכתובת שלא נמצאת ברשימה הזאת היא אירוע, וכך גם יטפלו בה.

#למה זה שובר סקופ

כללי ההתקשרות (rules of engagement) קובעים מאיפה הבדיקה יוצאת. נספח B של NIST SP 800-115 מפרט בסעיף 4 כתובות IP מורשות ולא מורשות, בסעיף 2.3 את המיקומים שמהם מותר לבדוק, ובסעיף 7 את החתימות. PTES דורש Permission to Test חתום ואישור נפרד כשמעורבים צדדים שלישיים.

הכתובות של Drael אינן שלך ואין לך איך להצהיר עליהן, והמפעיל שלה אינו צד להסכם שלך. התנאים של Drael עצמה אפילו לא נוקבים בשם המפעיל, כך שגם אילו רצית להוסיף אותו לניירת, לא היה לך את מי לכתוב.

חוקים כמו 18 USC 1030 בארצות הברית וסעיף 154-A לחוק העונשין הברזילאי סובבים סביב הרשאה. האם הרשאה שמפרטת את הכתובות שלך מכסה תעבורה מכתובות של מישהו אחר? זו שאלה לעורך הדין שלך, ולא כדאי לגלות שצריך לשאול אותה רק אחרי שה-SOC של הלקוח פתח טיקט.

#הראיות לא אצלך

דוח צריך לציין מה נשלח, מתי, מאיפה ומה חזר. התיעוד של Drael אומר "You never see the intermediate turns", כלומר את סבבי הביניים אתה לא רואה. מה שמגיע אליך הוא התיאור של המודל למה שהוא עשה. ה-OWASP LLM Top 10 קורא לסוג הבעיה הזה LLM06, Excessive Agency: לולאה שמבצעת פעולות רשת בלי נקודת ביקורת.

גם הדאטה נשאר שם. דף הפרטיות מפרט מה נשמר: "Your conversations, image prompts, the code you ran and your instructions", ובנוסף "The files your code wrote, in that conversation's workspace, for up to three days after it was last used." במילים אחרות, השיחות, הקוד שהרצת וההוראות שלך נשמרים, והקבצים שהקוד כתב נשארים עד שלושה ימים אחרי השימוש האחרון. השעון מתאפס בכל שימוש. NIST SP 800-115 דורש כללים מתועדים לאחסון ולהשמדה של נתוני הבדיקה (סעיף 7.4). ב-Drael, פלט מהמערכות של הלקוח יושב על דיסק שמנהל מוכר שאין לך איך לנקוב בשמו. ואם תמחק אותו, אותו דף אומר שעותקים בגיבוי "leave as backups are rotated", כלומר נעלמים כשהגיבויים מתחלפים, בלוח זמנים שהדף לא מוסר.

#מי עונה כשהלקוח מתקשר

אתה. התנאים של Drael אומרים שהרצה של תשובה או פעולה על פיה "is your decision and your risk" (ההחלטה שלך והסיכון שלך), וגם: "If someone makes a claim against the operator because of how you used Drael or what you did with an answer, you take responsibility for it, including the reasonable cost of defending it." כלומר אם מישהו תובע את המפעיל בגלל השימוש שלך, האחריות עליך, כולל עלות סבירה של ההגנה המשפטית.

השרת של Drael שולח את התעבורה, והתנאים מגישים לך את החשבון, כולל הוצאות ההגנה של המפעיל. האחריות של Drael עצמה נעצרת בשלושה חודשי תשלום. אותם תנאים מוסיפים: "Nothing Drael says is legal, medical, financial or security advice." שום דבר ש-Drael אומרת אינו ייעוץ משפטי, רפואי, פיננסי או ייעוץ אבטחה. את השאר תמצא בקריאה שלנו בתנאים.

#איפה ההרצה צריכה לקרות

NotHoly משאירה את ה-inference בצד שלנו ואת ההרצה בצד שלך. אף כלי בצד השרת לא סורק, לא מנצל חולשות ולא שולח תעבורה אקטיבית לצדדים שלישיים. ה-CLI מריץ פקודות על המחשב שלך, כל אחת באישורך, מהכתובת שכבר רשומה בכללי ההתקשרות שלך, והתיעוד נשאר בהיסטוריית ה-shell וב-packet capture שלך.

המשמעות היא שאת הסביבה שלך אתה מריץ ומבודד בעצמך, מה שבודק עושה ממילא. ה-prompts שלך עדיין מגיעים ל-inference בצד שלנו: תוכן ה-API לא נשמר, רק מטא־דאטה, והיסטוריית הצ׳אט נשמרת אלא אם בחרת בצ׳אט זמני. איך זה משתלב בעבודה אמיתית כתוב בדפים על pentest, על red team ובדף ה-harness.

#מה מתאים למי

ה-sandbox בצד השרת של Drael מתאים למשתמש יחיד שרוצה שהמודל יריץ קוד משלו וישלוף דפים בלי להקים מכונה, ושלא שולח את התעבורה הזאת אל מערכות של מישהו אחר. NotHoly מתאימה לעבודה עם סקופ חתום: ההסקה בצד שלנו, ההרצה בצד שלך, כל פקודה רצה מהכתובת שלך אחרי שאישרת אותה, והתיעוד נשאר בהיסטוריית ה-shell וב-packet capture שלך. המחיר הוא שאת הסביבה שלך אתה מריץ ומכיל בעצמך, וזה מה שבודק חדירות עושה ממילא.

#שאלות נפוצות

#איזה IP היעד רואה כש-AI מריץ קוד?

את ה-IP של המקום שבו הקוד רץ. ב-Drael זה השרת של Drael. עם CLI על המחשב שלך, זה ה-IP שלך.

#אפשר להשתמש ב-AI שמריץ קוד בזמן pentest?

כן, כשהוא מריץ ממיקום שרשום בכללי ההתקשרות שלך ואתה יכול לתעד כל פקודה. כלי מתארח ששולח את התעבורה בעצמו צריך קודם אישור בכתב מהלקוח.

#כמה זמן Drael שומרת קבצים מ-run_code?

עד שלושה ימים אחרי השימוש האחרון, לפי דף הפרטיות שלה, והקוד שהרצת נשמר יחד עם ההיסטוריה שלך.

#מי אחראי אם AI מתארח פוגע ביעד הלא נכון?

התנאים של Drael מטילים עליך תביעות שנוגעות לשימוש שלך, כולל עלות סבירה של הגנת המפעיל.

#האם NotHoly מריצה קוד על השרתים שלה?

לא. התשתית לא נוגעת ביעדים, וקבצים שהועלו מנותחים בלי שיורצו.

#פסק הדין

הרצה בצד השרת היא הפיצ׳ר ש-Drael מציגה ראשון, והיא גם הסיבה שאי אפשר להשתמש בה מול לקוח. היא מסתירה את הצעדים, שולחת מכתובת שמחוץ לסקופ שלך, מאחסנת את הפלט ומטילה עליך את האחריות. אנחנו החלטנו לא לבנות דבר כזה. אם לעבודה שלך יש סקופ חתום, קרא איך ה-CLI מטפל באישורים, טען US$ 5 בדף התמחור של NotHoly והשאר את החבילות על הכתובת שלך. הפוסט למה אנשי מקצוע לא מריצים התקשרויות על Drael מחיל את אותו מבחן על שאר המוצר.