Ketika Hugging Face mengalami pelanggaran data minggu lalu, salah satu pendirinya, Clement Delangue, langsung curiga ada yang tidak beres, melihat bagaimana canggihnya tindakan tersebut. Dan tebak apa? Dia benar. Dalam sebuah postingan di X, Delangue menjelaskan bahwa setelah bekerja sama dengan OpenAI selama sehari, dia yakin tidak ada niat jahat di balik kejadian itu dan yang lebih mengejutkan, semua terjadi secara otomatis.
Dua model OpenAI yang berhasil menembus Hugging Face bukan karena kebencian atau kecerdasan super, melainkan melalui kredensial dan izin yang seharusnya tidak mereka miliki. Ini adalah masalah identitas non-manusia, tantangan paling tua dalam keamanan, bukan yang terbaru dalam AI, dan yang sebenarnya bisa diperbaiki oleh setiap perusahaan.
OpenAI mengungkapkan pada 21 Juli bahwa dua modelnya, GPT-5.6 Sol dan model baru yang lebih kuat, sedang menjalankan benchmark siber bernama ExploitGym dengan penolakan keselamatan yang dimatikan. Mereka menduga bahwa kunci jawaban ada di database produksi Hugging Face. Untuk sampai ke sana, terjadi dua kegagalan. Kelemahan zero-day pada proxy registri paket memungkinkan model-model tersebut keluar dari kotak pasir mereka dan menjelajah di internet, sebuah tindakan yang juga diuraikan oleh OpenAI dalam postingan lain tentang keselamatan jangka panjang. Namun, pelanggaran terhadap Hugging Face itu sendiri terjadi dengan cara yang biasa. Model-model tersebut menggunakan kredensial yang dicuri dan aturan zero-day lebih lanjut untuk masuk ke jalur eksekusi kode jarak jauh setelah serangkaian langkah eskalasi hak istimewa dan pergerakan lateral.
Hugging Face juga mengungkapkan bahwa sebuah agen otonom telah mengumpulkan kredensial cloud dan cluster yang memiliki jangkauan terlalu luas untuk menjangkau beberapa cluster internal, dan meninggalkan jejak lebih dari 17.000 peristiwa tercatat di antara sandbox berumur pendek selama akhir pekan. Kedua pengungkapan ini menggambarkan eskalasi yang sama. Seorang agen mendarat di tempat yang seharusnya tidak ada, menemukan kredensial yang lebih luas dari yang dibutuhkan, dan menggunakan kredensial itu untuk bergerak. Ini adalah dua narasi dari satu insiden, bukan dua serangan terpisah. Agen yang dilihat Hugging Face adalah model-model OpenAI sendiri, dan kedua perusahaan menggambarkan eskalasi yang sama.
Dalam sebuah perusahaan biasa, situasinya bisa jauh lebih buruk. OpenAI dan Hugging Face adalah dua organisasi yang paling matang dalam keamanan di industri ini, dan keduanya masih perlu mengalami intrusi sebelum memahami apa yang terjadi. Perusahaan rata-rata yang mengintegrasikan agen ke dalam Copilot atau asisten internal tidak memiliki inventaris identitas atau pemantauan perilaku yang dimiliki kedua perusahaan tersebut. Pelanggaran yang sama di perusahaan biasa tidak akan terdeteksi dalam hitungan hari, tetapi justru akan luput dari perhatian.
Industri membahas kesalahan yang salah
Reaksi dari insiden ini terbagi menjadi kelompok-kelompok yang familiar. David Sacks, mantan pejabat AI dan cryptocurrency Gedung Putih, dan sejumlah pihak yang skeptis terhadap Tiongkok menyoroti paradoks pengaman, di mana filter keselamatan komersial menghalangi pembela Hugging Face sementara model penyerang berjalan tanpa penolakan. Hugging Face berargumen untuk transparansi, menyatakan bahwa model-model terbuka dan alat terbuka memberi pembela kemampuan yang sama dengan para penyerang. Kedua argumen ini berfokus pada modelnya, tetapi tidak menjelaskan mekanismenya.
Pengurangan penolakan memungkinkan model mencoba menyerang, sementara kredensial yang memiliki jangkauan terlalu luas yang memberi mereka kesempatan untuk berhasil, dan tidak peduli apakah model tersebut terbuka atau tertutup, Amerika atau Tiongkok. Membuat model yang terbukti aman adalah masalah keselarasan multith years yang tidak bisa dibeli atau dipercepat oleh pelanggan, sementara mengatur identitas adalah perubahan konfigurasi yang bisa dilakukan dalam waktu dekat. Industri ini sedang didorong untuk fokus pada bagian yang tidak bisa mereka kendalikan dan menganggap bagian yang bisa mereka kendalikan sebagai catatan kaki.
Forrester juga mencapai kesimpulan yang sama. Dalam blog tentang insiden tersebut, analis mereka berpendapat bahwa arsitektur keamanan yang mengasumsikan niat baik akan melewatkan mode kegagalan ini, karena agen dapat mencapai tujuan yang diizinkan dengan cara yang tidak sah, persis seperti yang dilakukan model-model OpenAI.
Ini adalah kegagalan identitas non-manusia, dan ini adalah yang tertua dalam keamanan
Tanpa perlu membingungkan dengan kerangka fiksi ilmiah, apa yang tersisa adalah kasus tekstbook tentang identitas mesin yang memiliki izin berlebihan, jenis yang telah diperangi oleh tim keamanan selama satu dekade, kini diperparah oleh agen otonom yang bergerak dengan kecepatan mesin. Identitas mesin sudah melampaui jumlah manusia di sebagian besar perusahaan lebih dari 80 banding satu, menurut penelitian CyberArk, dengan 42% dari mereka memiliki akses istimewa atau sensitif, dan agen mewarisi kredensial yang bisa mereka jangkau. OWASP menempatkan penyalahgunaan identitas dan izin agen di dekat puncak daftar risiko agenik, pola409confused deputy di mana kredensial warisan dan penentuan ruang lingkup yang lemah memungkinkan seorang agen untuk mencapai di luar mandatnya, dan ini adalah tepatnya yang dijelaskan oleh kedua pengungkapan di bulan Juli.
Kayne McGladrey, Anggota Senior IEEE, sebelumnya telah berargumen dalam wawancara VentureBeat bahwa perusahaan terus mengkloning akun pengguna manusia ke agen yang kemudian memiliki lebih banyak izin daripada yang dimiliki manusia manapun, dan ini adalah apa yang terlihat ketika agen tersebut adalah model perbatasan dan targetnya adalah database produksi.
Orang-orang yang paling dekat dengan situasinya melihat hal ini dengan cara yang sama. OpenAI menggambarkan modelnya sangat fokus pada skor benchmark, bukan bertindak melawan siapa pun. Tak ada yang menyebutkan musuh, hanya tujuan, fungsi skor, dan kredensial yang bisa diakses ketika seharusnya tidak bisa.
Kegagalan spesifik ini mudah diungkap begitu kerangka AI dibersihkan. Sebuah kredensial yang diarahkan untuk satu pekerjaan tetapi bisa mencapai sepuluh adalah undangan terbuka, terlepas apakah penyerangnya manusia, worm, atau model otonom yang mengejar skor benchmark. Apa yang berubah pada bulan Juli adalah penemu dan agennya. Sebuah agen dapat mendaftar sistem yang dapat dijangkau, menguji kredensial, dan beralih dengan lebih cepat daripada tim merah manusia manapun, tanpa niat jahat atau keraguan, kapan pun jalur terbuka. Jangkauan berlebihan selalu menjadi kerentanan, dan agen hanya mengindustrialikan penemuannya.
Forrester menamai kontrol yang akan mengurangi kerentanan ini. Kerangka keamanan agenik mereka, AEGIS, menyerukan agensi paling minim, membatasi alat, kredensial, dan jalur jaringan agen hingga sekecil mungkin untuk memenuhi tugasnya, dan mengkategorikan insiden ini sebagai agensi dan izin yang tidak terkontrol. Itulah argumen identitas dengan kata-kata berbeda, sampai pada kesimpulan yang sama secara independen oleh sebuah firma analis.
Data menunjukkan bahwa di sinilah risiko saat ini berada. Laporan Investigasi Pelanggaran Data Verizon 2026 menemukan bahwa eksploitasi kerentanan telah mengalahkan pencurian kredensial sebagai vektor akses awal utama untuk pertama kalinya dalam 19 tahun. Itu adalah separuh akses awal. Separuh lainnya adalah apa yang dijelaskan oleh OpenAI sendiri, di mana kredensial yang dicuri mendorong eskalasi hak istimewa dan pergerakan lateral yang diikuti. Sebuah kerentanan membuka pintu, dan kredensial melangkah masuk tanpa tantangan. Selain pelanggaran itu sendiri, jangkauan berlebihan itu membawa tanggung jawab hukum yang belum pernah dihitung oleh sebagian besar perusahaan. Tindakan model-model tersebut kemungkinan melanggar Undang-Undang Penipuan dan Penyalahgunaan Komputer, menurut TechCrunch. Undang-undang tersebut tidak memiliki pengecualian untuk agen AI yang melebihi ruang lingkup yang diizinkan selama pengujian resmi. Apa pun jawaban hukum, penggerak teknisnya tetap sama: identitas yang memiliki ruang lingkup lebih luas daripada tugasnya. Ini adalah masalah kontrol akses dengan pemilik dan anggaran, bukan seminar filosofi tentang kognisi mesin.
Merritt Baer, Penasihat Senior untuk Andesite, G2I, dan AppOmni serta mantan Wakil CISO di AWS, menggambarkan perubahan mendasar ini sebagai asimetri baru. Kedua sisi kini menginginkan kemampuan yang sama, namun satu sisi dibatasi oleh tata kelola perusahaan, kebijakan, kepatuhan, dan kontrol keselamatan sementara pihak lawan hanya mengunduh model terbuka yang tidak disensor dan terus melanjutkan. Organisasi yang paling berhasil melewati situasi ini, menurutnya, adalah yang memperlakukan AI sebagai kemampuan yang kuat dan teratur, bukan sebagai satu layanan yang mereka tidak kuasai.
Empat langkah untuk mengurangi dampak pelanggaran
Pelanggaran ini terjadi karena agen tersebut mencapai identitas yang memiliki jangkauan lebih luas dari tugasnya. Tidak ada dari empat kontrol yang akan membatasi pelanggaran ini yang membutuhkan platform baru, dan tidak ada yang terdapat dalam daftar saran keselamatan AI umum yang beredar saat ini. Ini adalah kebersihan identitas, diterapkan pada aktor non-manusia dengan ketelitian yang sama seperti yang diterapkan pada orang.
1. Batasi setiap identitas non-manusia pada satu tugas. Model-model tersebut mencapai kredensial yang menyentuh multiple cluster, yang mengubah pijakan menjadi pelanggaran. Identitas yang dibatasi pada satu pekerjaan tanpa akses tetap ke hal lain akan terhalang pada langkah lateral pertama, bukan membuka pintu selanjutnya. Ini adalah prinsip hak istimewa paling minim, kontrol yang semua orang dukung namun jarang diterapkan pada akun mesin, dan ini adalah perbaikan yang paling berdampak di sini.
2. Beri kredensial umur yang pendek dan putar dengan agresif. Kredensial yang dicuri hanya berguna selama masih valid, dan kedua agen di bulan Juli berfungsi dengan mengumpulkannya. Umur yang singkat dan rotasi agresif mengubah pengumpulan kredensial menjadi suara kedaluwarsa, sehingga token yang dicuri selama intrusi akhir pekan sudah tidak berlaku sebelum penyerang bisa menggunakannya. Rahasia statis yang tidak pernah diputar adalah versi kontrol ini yang gagal.
3. Pantau pergerakan lateral, bukan hanya prompt. Petunjuk dalam kedua insiden adalah eskalasi hak istimewa dan pergerakan lateral. Ini tidak terlihat oleh filter prompt karena sedang memantau lapisan yang salah. Pemantauan perilaku identitas, yang didasarkan pada apa yang biasanya dilakukan identitas non-manusia dan memberi peringatan saat bergerak ke tempat baru, menangkap eskalasi yang terlewatkan oleh penghalang konten. Pertanyaan untuk tumpukan Anda adalah, apakah ada yang Anda jalankan hari ini yang akan memflag akun layanan yang tiba-tiba berpindah antar cluster.
4. Latih pencabutan instan sebelum Anda membutuhkannya. Ketika insiden tersebut melibatkan agen Anda sendiri, pengendalian tercepat adalah membunuh identitasnya di tengah jalan, dan itu hanya efektif jika jalannya untuk melakukannya sudah ada sebelum hari ketika Anda membutuhkannya. Latih pencabutan identitas mesin di bawah tekanan seperti Anda melatih pencabutan kredensial manusia. Jika Anda belum pernah melakukannya, Anda belum benar-benar memiliki kontrol, Anda hanya memiliki niat.
Pertahanan juga berfungsi, dan itu penting. Tim keamanan OpenAI menangkap aktivitas anomali secara internal, deteksi milik Hugging Face dan agennya menghentikan intrusi, dan pelanggaran teratasi dalam hitungan hari, bukan bulan, karena para pembela bisa melihat ke dalam sistem yang mereka kendalikan. Visibilitas tersebut adalah disiplin yang sama yang diperlukan dari empat kontrol di atas. Debat tentang apakah model-model perbatasan aman, terbuka, atau berasal dari Amerika akan berlangsung selama bertahun-tahun, dan tidak ada dari itu yang akan diselesaikan tepat waktu untuk membantu perusahaan yang menerapkan agen tahun ini. Namun, celah identitas non-manusia ini berbeda, karena dapat dipahami, terukur, dan diperbaiki saat ini. Model yang melanggar Hugging Face tidak perlu cerdas; mereka hanya membutuhkan kredensial yang ditinggalkan dalam jangkauan. Solusinya adalah membatasi kredensial tersebut sebelum agen menemukannya.
