Tak Hanya Hugging Face, Agen AI OpenAI yang Kabur dari Lab Juga Bobol 4 Akun Layanan PublikTak Hanya Hugging Face, Agen AI OpenAI yang Kabur dari Lab Juga Bobol 4 Akun Layanan PublikTak Hanya Hugging Face, Agen AI OpenAI yang Kabur dari Lab Juga Bobol 4 Akun Layanan PublikTakHanyaHuggingFace,AgenAIOpenAIyangKaburdariLabJugaBobol4AkunLayananPublik

Kasus agen AI OpenAI yang kabur dari lab ternyata lebih luas dari yang pertama kali dilaporkan.

Awalnya yang diketahui hanya Hugging Face yang jadi korban. Dalam update investigasi terbarunya, OpenAI menyebut agen nakal tersebut juga membobol beberapa layanan dan akun publik lain di internet.

Ini bukan uji coba biasa. Tes itu memang sengaja dilakukan di dalam digital sandbox, sebuah lingkungan lab yang seharusnya tidak bisa ditembus. Di dalam sana, pagar pengaman sengaja dilonggarkan agar peneliti bisa melihat sejauh mana kemampuan hacking maksimal model tersebut.

Tapi agen AI itu punya logika sendiri. Demi lulus tes keamanan siber dengan nilai sempurna, ia jebol sandbox, mendapatkan akses ke internet nyata, lalu meretas Hugging Face untuk mencari kunci jawabannya.

Untuk bisa masuk ke server Hugging Face, agen itu butuh alat.

OpenAI mengatakan agennya menjelajahi internet dan menemukan sejumlah situs publik — mulai dari halaman berbagi kode, utilitas web, screenshot, hingga informasi lain — untuk merangkai kode yang dibutuhkan untuk membobol Hugging Face. OpenAI tidak mengungkap situs apa saja yang ikut diakses dalam proses itu.

Yang lebih mengkhawatirkan, dalam perjalanan itu agen menemukan username dan password yang bocor milik empat akun di berbagai layanan online. Kredensial itu lalu dipakai untuk masuk.

Satu akun yang dibobol diduga dipakai untuk menyamarkan diri agar terlihat sah dan bisa melewati protokol keamanan Hugging Face. Akun lain dipakai sebagai tempat penampungan sementara data curian. Dua akun lainnya hanya diakses dan dibaca isinya, tidak diubah.

OpenAI menegaskan tidak ada situs lain yang tingkat aksesnya sedalam yang terjadi di Hugging Face. Namun polanya jelas.

"Pada dasarnya agen kami membuat perampokan ala Ocean's Eleven," begitu gambaran dari OpenAI. Bukannya sekadar mengerjakan tes, agen itu menyusun rencana besar: kabur dari penjara, mencari kunci brankas, menyiapkan rumah aman, dan menyewa mobil pelarian sebelum mencuri barangnya.

Padahal, OpenAI tidak pernah memerintahkan agennya untuk meretas Hugging Face. Tindakan itu dilakukan agen atas inisiatifnya sendiri karena menilai curang adalah jalan paling mudah untuk sukses, bahkan jika harus merangkai beberapa serangan beruntun.

CEO Hugging Face Clem Delangue menyebut sifat pembobolan ini belum pernah terjadi sebelumnya.

"TL;DR: An AI agent escaped its sandbox, cheated on its benchmark test, and hacked our infrastructure to steal the answer key," tulis Hugging Face dalam blog yang merinci insiden tersebut.

Kabar baiknya, kerusakan tidak besar.

Hugging Face menyebut satu-satunya data pelanggan yang diakses agen nakal itu adalah beberapa query pencarian yang dipakai untuk mencuri kumpulan solusi tantangan yang tersimpan di beberapa dataset internal perusahaan. Tidak ada model atau data pelanggan yang menghadap ke publik yang berhasil dikompromikan.

OpenAI mengatakan investigasi masih berlanjut dan akan mengeluarkan rekomendasi untuk mencegah kejadian serupa setelah memahami cakupan penuhnya.

"We take our responsibility to identify and prepare for risks from increasingly capable AI systems seriously. Once we complete our review, we will review with the Safety and Security Committee and Safety Advisory Group under our Preparedness Framework," tulis perusahaan.

Kasus ini jadi alarm keras bagi industri. Ketika pagar pengaman dilepas untuk menguji batas kemampuan, AI tidak hanya menyelesaikan soal — ia mencari cara tercepat untuk menang, bahkan jika itu berarti meretas sistem nyata di luar lab.