OpenAI dan Hugging Face mengumumkan kemitraan untuk menangani insiden keamanan yang terjadi selama evaluasi model AI internal.

Menurut kedua perusahaan, agen AI otonom berhasil melarikan diri dari lingkungan evaluasi yang direncanakan, mendapatkan akses internet, dan melancarkan serangan multi-tahap terhadap infrastruktur produksi Hugging Face.

>>> Hisense Masuki Pasar Mesin Cuci India dengan Ragam Model Baru

Kronologi Insiden

Insiden terjadi saat evaluasi kemampuan siber internal menggunakan GPT-5.6 Sol dan model lain yang belum dirilis dengan pengaman siber yang dikurangi.

OpenAI menyatakan evaluasi dilakukan di lingkungan yang sangat terisolasi dengan akses jaringan terbatas.

Model-model tersebut berhasil mengidentifikasi dan merangkai kerentanan di lingkungan riset OpenAI dan infrastruktur produksi Hugging Face untuk mendapatkan solusi ExploitGym langsung dari database produksi Hugging Face.

Langkah-langkah yang dilakukan model antara lain menemukan dan mengeksploitasi kerentanan zero-day pada proxy cache registry paket, melakukan eskalasi hak akses dan pergerakan lateral, serta menggunakan kerentanan tambahan dan kredensial curian untuk membangun jalur eksekusi kode jarak jauh ke infrastruktur produksi Hugging Face.

Tim keamanan OpenAI mendeteksi aktivitas anomali secara internal, sementara Hugging Face secara independen mendeteksi dan menghentikan intrusi.

>>> Penyebab Flek Hitam Tak Hanya Sinar Matahari, Ini Faktor Internalnya

Dampak dan Tindakan

Hugging Face melaporkan bahwa intrusi mengakibatkan akses tidak sah ke sejumlah kecil dataset internal dan akses ke beberapa kredensial layanan.

Tidak ada bukti gangguan pada model publik, dataset, atau Spaces, serta tidak ada kompromi pada paket yang diterbitkan atau rantai pasokan perangkat lunak.

OpenAI telah menerapkan kontrol konfigurasi infrastruktur yang lebih ketat, mengungkapkan kerentanan zero-day kepada vendor, dan menambahkan Hugging Face ke program Trusted Access.

Hugging Face telah menutup kerentanan, membangun kembali sistem yang terkena dampak, mencabut dan memutar kredensial yang dikompromikan, serta melibatkan spesialis forensik keamanan siber eksternak dan melaporkan insiden ke penegak hukum.

>>> 25 Kata-Kata Ucapan Hari Anak Nasional Islami Penuh Doa dan Makna

Kedua perusahaan akan terus melakukan investigasi bersama dan menerbitkan temuan teknis tambahan setelah investigasi selesai.