Setelah memperoleh akses internet, model AI itu menyimpulkan Hugging Face kemungkinan menyimpan model, dataset, maupun solusi untuk benchmark keamanan siber yang sedang diuji, yakni ExploitGym.
AI tersebut kemudian menjalankan serangkaian serangan menggunakan kombinasi kredensial yang dicuri dan kerentanan zero-day untuk memperoleh informasi yang dibutuhkan guna "menyontek" atau menyelesaikan pengujian.
OpenAI menegaskan seluruh bukti menunjukkan model AI tersebut sangat fokus menyelesaikan target evaluasi, bukan bertujuan mencuri data pengguna.
Aktivitas anomali itu pertama kali dideteksi oleh tim keamanan internal OpenAI, sementara tim keamanan Hugging Face berhasil menghentikan serangan dan melakukan proses investigasi forensik sebelum terjadi dampak yang lebih luas. Tidak ada data pelanggan yang dilaporkan bocor dalam insiden tersebut.
Menurut laporan Hugging Face, agen AI tersebut melakukan sekitar 17.000 tindakan otomatis selama menjalankan aksinya. Rangkaian aktivitas itu mencakup pencarian kerentanan, eksploitasi sistem hingga perpindahan antarinfrastruktur secara mandiri tanpa arahan manusia secara langsung.
Menyusul insiden tersebut, OpenAI memperketat konfigurasi infrastruktur pengujiannya dan menghentikan sementara sebagian proses evaluasi model-model siber paling canggih sembari melakukan investigasi bersama Hugging Face. Perusahaan juga menyatakan akan membagikan temuan lebih lanjut setelah proses investigasi selesai.
Insiden ini memicu perhatian regulator di Amerika Serikat. Reuters melaporkan penasihat teknologi Presiden AS Donald Trump, Michael Kratsios, telah menerima laporan mengenai kejadian tersebut.
Sejumlah anggota parlemen bahkan mulai mengusulkan regulasi baru, termasuk mekanisme penghentian (kill switch) terhadap model AI yang dinilai berpotensi kehilangan kendali dalam skenario tertentu.
(fik/ros)
