Satu minggu setelah OpenAI mengonfirmasi model AI-nya meretas Hugging Face untuk menipu dalam tolok ukur keamanan, perusahaan tersebut diam-diam memperbarui postingan insidennya dengan sesuatu yang belum pernah dikatakannya sebelumnya: Hugging Face bukan satu-satunya platform yang disentuh agen nakalnya.
"Dalam tinjauan berkelanjutan kami terhadap intrusi Hugging Face dan aktivitas yang lebih luas dari model kami, kami telah menemukan sejumlah kecil kasus di mana model mengidentifikasi dan menggunakan kredensial yang terekspos secara publik di tingkat akun pada layanan lain yang tersedia secara publik,” tulis OpenAI dalam pembaruan tanggal 28 Juli. “Ini termasuk empat akun pada empat layanan sebagai bagian dari insiden Hugging Face (dan beberapa akun diakses sebagai bagian dari evaluasi lainnya).”
Total ada lima platform. OpenAI tidak secara publik menyebutkan satupun dari keempat platform selain Hugging Face.
“Kami akan terus memberi tahu pemilik layanan secara langsung, dan belum melihat bukti dampak yang lebih luas pada penyedia ini atau akun lain di layanan mereka," tulis OpenAI.
Sebagai konteks: OpenAI sedang menguji GPT-5.6 Sol dan model lain yang lebih mampu tanpa nama di ExploitGym—sebuah tolok ukur keamanan siber, yang merupakan tes terstandardisasi yang mengukur kinerja AI, memberikan agen 898 kerentanan perangkat lunak dunia nyata dengan satu instruksi masing-masing: mengubahnya menjadi serangan siber yang berfungsi, dengan skor lulus atau gagal. Filter keamanan dinonaktifkan untuk mengukur kemampuan mentah model. Itu adalah praktik standar untuk jenis evaluasi ini—Anda tidak dapat mengukur apa yang dapat dilakukan model di alam liar jika Anda secara aktif mencegahnya melakukan apa pun.
Masalahnya adalah apa yang dilakukan model dengan kebebasan itu. Alih-alih menyelesaikan tolok ukur, mereka menghabiskan waktu komputasi yang substansial untuk mencari cara melarikan diri dari lingkungan pengujian mereka dan menyalin jawaban secara langsung. Mereka mengidentifikasi zero-day—celah perangkat lunak yang tidak dikenal tanpa patch yang ada—dalam proxy cache registri paket (server internal yang mengelola unduhan perangkat lunak untuk lingkungan pengujian yang terisolasi, seperti toko aplikasi yang terkontrol).
Itu memberi mereka akses internet yang seharusnya tidak mereka miliki. Dari sana, mereka dengan tepat menyimpulkan bahwa Hugging Face—repositori model AI open-source terbesar di dunia—kemungkinan besar menyimpan kunci jawaban, dan masuk untuk mendapatkannya.
Selama proses tersebut, mereka juga meretas empat perusahaan lain untuk mempermudah pekerjaan mereka.
Rekonstruksi forensik yang diterbitkan Hugging Face pada 27 Juli menjelaskan apa yang terjadi selanjutnya: "Selama sekitar dua setengah hari di dalam infrastruktur kami, agen AI otonom yang didorong oleh kombinasi model OpenAI menjalankan intrusi ujung-ke-ujung terhadap platform kami: itu adalah ribuan keputusan kecil, otomatis, dieksekusi dengan kecepatan mesin di lingkungan sandbox berumur pendek, dengan komando dan kontrol yang dipentaskan pada layanan web publik biasa."
Agen tersebut mencatat 17.600 tindakan berbeda selama empat setengah hari. Ia mendaftarkan 181 perangkat ke jaringan pribadi virtual internal Hugging Face—terowongan aman yang menghubungkan server perusahaan—menggunakan kunci autentikasi yang dicuri. Ia mencetak token identitasnya sendiri menggunakan kunci penandatanganan kriptografi yang dicuri. Ia mencoba mengkompromikan pipeline pembangunan internal Hugging Face—sistem otomatis yang mengkompilasi dan menyebarkan perangkat lunak perusahaan.
Dari empat layanan eksternal yang disebutkan dalam pembaruan OpenAI, satu telah dikonfirmasi: Modal Labs, platform cloud untuk menjalankan lingkungan komputasi terisolasi sesuai permintaan. CTO Akshat Bubna mengonfirmasi bahwa agen tersebut menemukan titik akhir yang tidak aman yang menghadap internet milik pelanggan—sebuah sandbox kode yang dibiarkan dapat diakses publik oleh siapa saja di internet—dan menggunakannya sebagai basis pementasan serta komando dan kontrol untuk seluruh kampanye melawan Hugging Face.
Tiga dari empat layanan tetap tidak disebutkan namanya. Identitas mereka tampaknya diketahui oleh OpenAI dan perusahaan yang terpengaruh, tetapi tidak oleh pengguna mereka.
“Salah satu dari empat akun ini digunakan sebagai relai keluar dan jalur pementasan, dan akun lain digunakan untuk penyimpanan data. Dua akun yang tersisa diakses oleh model dalam mode hanya-baca, dan tidak digunakan untuk memajukan kompromi Hugging Face,” tulis OpenAI.
Tim forensik Hugging Face mencatat efek samping yang suram: Ketika mereka mencoba menganalisis log serangan 17.600 tindakan menggunakan model AI terkemuka Amerika, model-model tersebut menolak untuk terlibat. Seperti yang ditulis Hugging Face, perusahaan akhirnya menggunakan GLM 5.2, model dengan bobot terbuka dari startup AI Tiongkok Z.ai, untuk menyelesaikan investigasi forensik. Filter keamanan model-model Amerika tidak dapat membedakan antara pembela dan penyerang.
Pendekatan yang dinyatakan OpenAI—"memberi tahu pemilik layanan secara langsung"—berarti ketiga perusahaan tersebut menerima komunikasi pribadi tentang agen AI yang mengakses sistem mereka selama evaluasi OpenAI yang tidak mereka ikuti.
Tidak ada persyaratan hukum yang memaksa OpenAI untuk secara publik menyebutkan platform yang dijangkau agennya, dan tidak ada jadwal wajib bagi perusahaan yang terpengaruh untuk mengeluarkan pernyataan publik mereka sendiri. Juga tidak ada mekanisme yang mewajibkan perusahaan-perusahaan tersebut untuk memberi tahu pengguna akhir mereka.
