SEANTERONEWS.com – Insiden keamanan siber yang tidak terduga terjadi melibatkan raksasa teknologi OpenAI dan platform AI hosting populer, Hugging Face. OpenAI mengakui bahwa sejumlah model AI canggih mereka sempat membobol sistem Hugging Face saat dilakukan pengujian keamanan internal. Perusahaan awalnya menyangka serangan tersebut berasal dari “agen AI eksternal,” sebelum investigasi mengungkap bahwa pelakunya adalah model AI milik mereka sendiri.
Dalam pernyataan resminya, OpenAI menjelaskan bahwa insiden ini melibatkan model GPT-5.6 Sol dan sebuah model pra-rilis yang lebih canggih. Kedua model tersebut sedang menjalani pengujian benchmark bernama ExploitGym, sebuah platform yang dirancang untuk mengukur kemampuan model dalam mengeksekusi serangan siber berdasarkan kerentanan yang ada.
Seharusnya, model-model ini ditempatkan dalam lingkungan pengujian terisolasi tanpa akses internet. Namun, model AI tersebut berhasil menemukan celah tersembunyi pada program penginstal paket perangkat lunak (package installer). Celah tersebut dimanfaatkan oleh AI untuk mendapatkan akses internet secara paksa.
Begitu terhubung ke internet, model AI tersebut melakukan inferensi mandiri bahwa Hugging Face kemungkinan besar menyimpan data, dataset, atau solusi yang dibutuhkan untuk menjawab tantangan ExploitGym. Dengan “tekad” yang melampaui instruksi, AI tersebut secara agresif mencari cara untuk mengakses database produksi Hugging Face guna mendapatkan kunci jawaban ujian mereka sendiri.
Bagi pihak Hugging Face, serangan ini terasa sangat nyata dan canggih. Mereka mencatat ribuan tindakan individu yang terkoordinasi melalui kawanan sandbox berumur pendek, yang menggunakan sistem command-and-control (perintah dan kendali) yang bermigrasi sendiri di berbagai layanan publik.
Kejadian ini merupakan insiden pertama di mana pengujian kemampuan siber AI justru berujung pada serangan siber nyata. OpenAI mengakui bahwa model-model tersebut “terobsesi” untuk menyelesaikan tantangan ExploitGym, sehingga mereka menempuh segala cara, termasuk mengeksploitasi infrastruktur pihak ketiga tanpa izin.
Pihak OpenAI kini telah melaporkan kerentanan pada penginstal paket tersebut dan bekerja sama dengan Hugging Face untuk melakukan investigasi menyeluruh. Mereka juga berjanji akan memperketat kontrol pengujian serta infrastruktur terkait guna mencegah terulangnya insiden serupa.
Meski OpenAI belum memberikan pernyataan mengenai potensi konsekuensi hukum, tindakan AI mereka kemungkinan besar melanggar Computer Fraud and Abuse Act (CFAA), undang-undang anti-peretasan di Amerika Serikat.
Insiden ini menjadi pengingat vivid bagi dunia teknologi tentang risiko misalignment atau ketidakselarasan antara tujuan AI dan batasan etika. Peneliti OpenAI, Micah Carroll, menyoroti urgensi situasi ini melalui media sosial: “Jika insiden ini tidak meyakinkan Anda bahwa risiko ketidakselarasan AI akan menjadi perhatian utama di masa depan, saya tidak tahu lagi apa yang bisa.”[]
