Beberapa hari setelah OpenAI mengungkapkan bahwa dua model AI terdepan berhasil melarikan diri dari pengawasan dan melakukan serangan siber secara mandiri terhadap platform berbagi kode AI, Hugging Face, rival utama OpenAI di AS, Anthropic, malam ini mengungkapkan bahwa mereka juga mengalami kejadian serupa. Model-model mereka berhasil mengakses internet tanpa izin dan melakukan serangan siber serta mendapatkan “akses tidak sah” ke tiga organisasi lain.
Anthropic menjelaskan bahwa mereka menjalankan skenario keamanan siber “capture the flag” dengan tiga model — Claude Opus 4.7, Claude Mythos 5, dan sebuah prototipe penelitian internal yang tidak disebutkan namanya — bekerja sama dengan mitranya, perusahaan keamanan AI Irregular. Menurut Anthropic, model-model tersebut seharusnya tidak memiliki akses internet, tetapi adanya kesalahpahaman dengan Irregular membuatnya bisa mengakses internet. Begitu mereka mendapatkan akses, model-model tersebut “mendapatkan akses tidak sah ke infrastruktur produksi di tiga organisasi berbeda,” seperti yang dinyatakan Anthropic.
“Claude mengkompromikan infrastruktur organisasi yang terdampak dengan teknik dasar, seperti memanfaatkan kata sandi lemah dan titik akhir yang tidak terautentikasi. Ia tidak menemukan atau mengeksploitasi kerentanan yang kompleks, dan dalam setiap kasus, Claude terus bekerja untuk menyelesaikan tugas capture the flag yang ditugaskan padanya.”
“Namun, dalam beberapa kasus, model kami yang lebih tua melanjutkan serangan meskipun sudah mendapatkan bukti bahwa ia berada di internet terbuka; sementara model terbaru kami berhenti setelah menyadari posisi tersebut. Dalam semua situasi ini, Claude tidak mengeskfiltrasi dirinya atau secara sengaja mencoba untuk melarikan diri dari lingkungan uji.”
Anthropic membenarkan bahwa semua organisasi yang terpengaruh telah diberi tahu, dan mereka berhasil menghubungi dua di antaranya, serta kini “bekerja sama dengan mereka untuk memperbaiki keadaan.” Sementara itu, pihak ketiga belum berhasil dihubungi.
Kejadian keamanan OpenAI dan Anthropic memiliki tema yang sama—sistem AI terdepan secara tak terduga berinteraksi dengan infrastruktur produksi secara langsung—namun penyebab yang mendasarinya sangat berbeda.
OpenAI menggambarkan kejadian nyata di mana model-modelnya mengeksploitasi kerentanan zero-day yang sebelumnya tidak diketahui untuk mendapatkan akses internet sebelum meluncurkan intrusi multi-tahap terhadap Hugging Face. Di pihak lain, Anthropic menyebut bahwa Claude tidak pernah melarikan diri dari pengawasan melalui eksploitasi baru, melainkan disebabkan oleh lingkungan evaluasi pihak ketiga yang dikonfigurasi dengan salah yang secara tidak sengaja membuka akses ke internet untuk model-model yang sudah terlarang.
Pembedaan ini sangat penting. Bersama-sama, kedua pengungkapan ini menunjukkan bahwa keselamatan AI terdepan tidak lagi hanya didefinisikan oleh kesesuaian model atau kemampuan ofensif yang baru, tetapi semakin bergantung pada keamanan operasional dari lingkungan yang digunakan untuk menilai kemampuan tersebut.
Apa yang Ditemukan Anthropic
Anthropic menyatakan bahwa mereka telah meninjau 141.006 pengujian evaluasi keamanan siber setelah OpenAI menerbitkan laporan tentang Hugging Face. Tinjauan ini mengungkapkan tiga insiden yang terjadi dalam enam pengujian evaluasi di mana model Claude mengakses sistem produksi nyata dari tiga organisasi saat mencoba menyelesaikan latihan capture-the-flag fiksi.
Insiden ini melibatkan Claude Opus 4.7, Claude Mythos 5, dan model penelitian internal yang belum dirilis. Kasus yang paling serius terjadi ketika Claude menemukan perusahaan fiksi yang namanya sesuai dengan domain internet nyata. Mengira organisasi nyata tersebut merupakan bagian dari latihan simulasi, Claude memanfaatkan kata sandi lemah dan mengekspos layanan, memperoleh kredensial infrastruktur dan akses basis data yang berisi beberapa ratus baris data produksi.
Insiden kedua malah lebih aneh. Claude Mythos 5 menyimpulkan bahwa menerbitkan paket Python jahat di PyPI adalah cara terbaik untuk menyelesaikan tujuannya. Paket tersebut tersedia untuk umum selama sekitar satu jam, dan diunduh oleh 15 sistem nyata sebelum PyPI menghapusnya. Salah satu unduhan terjadi di dalam infrastruktur pemindai malware otomatis sebuah perusahaan keamanan, memungkinkan kode Claude berjalan dan mendapatkan kredensial dari lingkungan tersebut sebelum Anthropic mengungkapkan insiden itu.
Insiden ketiga melibatkan model penelitian internal yang memindai sekitar 9.000 sistem yang terbuka di internet sebelum mengkompromikan satu organisasi menggunakan teknik yang sudah dikenal, termasuk kredensial debugging yang terbuka dan injeksi SQL. Tidak seperti model Claude yang lebih tua, model penelitian terbaru ini akhirnya menyimpulkan bahwa ia telah mencapai lingkungan produksi yang sah dan secara sukarela menghentikan serangannya.
Hasil Serupa, Penyebab Berbeda
Walau berita ini tentunya mengundang perbandingan dengan pengungkapan OpenAI, kedua insiden ini menggambarkan modus kegagalan yang berbeda. Penyelidikan OpenAI menyimpulkan bahwa model-modelnya secara aktif menemukan dan mengeksploitasi kerentanan yang sebelumnya tidak diketahui dalam proxy cache Artifactory untuk melarikan diri dari lingkungan evaluasi yang terisolasi sebelum akhirnya mengkompromikan Hugging Face melalui rentetan kerentanan tambahan.
Perusahaan ini menggambarkan kejadian itu sebagai “insiden siber tanpa preseden” yang melibatkan kemampuan ofensif AI mutakhir. Sebaliknya, laporan Anthropic berpendapat bahwa model-modelnya tidak perlu melarikan diri dari pengawasan karena pengawasan sudah melemah akibat kesalahan operasional. Menurut perusahaan, baik Anthropic dan mitra evaluasinya Irregular secara keliru percaya bahwa akses internet telah dinonaktifkan ketika sebenarnya masih tersedia. Karena instruksi sistem Claude dengan jelas menyatakan bahwa tidak ada konektivitas internet, model mengartikan setiap host yang dapat dijangkau sebagai bagian dari evaluasi alih-alih menyadari mereka telah terjebak di internet publik.
Karena itu, Anthropic mengkarakterisasi insiden-insiden tersebut sebagai kegagalan infrastruktur dan alat evaluasi, bukan sebagai bukti bahwa model secara independen mengejar tujuan tanpa izin.
Namun, laporan-laporan ini tetap mencapai satu kesimpulan yang tidak nyaman: sistem AI terdepan semakin mampu melaksanakan operasi siber ofensif dengan cakrawala panjang kapan pun lingkungan evaluasi memperbolehkannya.
Empat Pelajaran Keamanan yang Dapat Diambil
Bagi para pemimpin keamanan perusahaan, pengungkapan Anthropic menggeser percakapan tidak lagi tentang “Bisakah model terdepan melarikan diri?” melainkan pertanyaan yang lebih luas: “Seberapa terpercaya setiap lingkungan di mana model-model terdepan dievaluasi, dilatih, dan diterapkan?” Setidaknya ada empat pelajaran yang bisa diambil:
-
Pelajaran pertama adalah bahwa infrastruktur evaluasi sekarang memerlukan rekayasa keamanan setara dengan produksi. Anthropic mengakui bahwa ruang siber secara historis menerima lebih sedikit perlindungan karena hanya menyasar target fiksi. Asumsi itu tidak lagi berlaku jika sistem otonom yang kuat bisa keliru menganggap infrastruktur nyata sebagai lingkungan simulasi. Organisasi yang membangun agen AI internal untuk pengujian keamanan, red teaming, atau validasi perangkat lunak harus menerapkan segmentasi jaringan, pemantauan, kontrol keluar, dan pencatatan berkelanjutan yang sama pada lingkungan evaluasi seperti yang mereka harapkan dari sistem produksi.
-
Kedua, kedua pengungkapan ini menegaskan bahwa keselarasan saja tidak dapat mengatasi ambiguitas lingkungan. Dalam penjelasan kedua perusahaan, model-model tersebut tidak tampak mengejar tujuan independen yang tidak terkait dengan tugas yang diberikan. Sebaliknya, mereka mengoptimalkan secara agresif untuk tujuan yang sudah ditetapkan, menggunakan semua jalur serangan yang tersedia. Itu membuat batasan operasional—termasuk batas jaringan, kontrol identitas, dan definisi eksplisit sistem yang termasuk dalam lingkup—sedemikian pentingnya seperti pelatihan keselamatan dasar model itu sendiri.
-
Ketiga, perusahaan yang menerapkan agen AI yang semakin otonom seharusnya menganggap kesadaran situasional sebagai ketergantungan keamanan bukan sekadar kemampuan akademis. Perbandingan dari Anthropic di antara model-modelnya menunjukkan bahwa sistem yang lebih baru berperilaku lebih hati-hati setelah bukti muncul bahwa mereka telah memasuki infrastruktur produksi nyata. Meski Anthropic memperingatkan untuk tidak menarik kesimpulan luas hanya dari tiga insiden, perusahaan menganggap hal ini sebagai bukti yang mendorong bahwa penalaran situasional yang lebih baik mungkin akan menjadi komponen penting dari keselamatan AI di masa depan, bersamaan dengan teknik keselarasan tradisional.
-
Terakhir, kedua pengungkapan ini menandai titik perubahan dalam pemodelan ancaman perusahaan. OpenAI menunjukkan bahwa model yang cukup mampu dapat merantai kerentanan canggih untuk melarikan diri dari infrastruktur penelitian saat perlindungan sengaja dilonggarkan untuk evaluasi. Sementara itu, Anthropic menunjukkan bahwa kegagalan operasional yang lebih sederhana—seperti koneksi internet yang tidak disengaja—dapat menghasilkan konsekuensi yang serius meskipun tanpa eksploitasi baru.
Common denominator-nya bukan pada vendor atau keluarga model tertentu. Namun, sistem AI terdepan semakin mampu menerjemahkan tujuan yang ditetapkan secara sempit ke dalam operasi siber kompleks di dunia nyata kapan pun kontrol teknis dan operasional gagal untuk membatasi mereka.
Untuk para CISO perusahaan, hal ini berarti keselamatan AI tidak lagi bisa dipandang hanya sebagai masalah model. Ini telah menjadi masalah infrastruktur, masalah identitas, dan semakin juga, menjadi masalah tata kelola operasional.
