Model AI Claude Milik Anthropic Retas Tiga Organisasi Selama Uji Coba Keamanan

Anthropic pada hari Kamis mengumumkan bahwa model kecerdasan buatan (AI) Claude miliknya berhasil mendapatkan akses tidak sah ke sistem produksi dari tiga organisasi. Peretasan ini terjadi selama evaluasi keamanan siber internal setelah lingkungan pengujian secara tidak sengaja dibiarkan terhubung ke internet.

Perusahaan rintisan AI tersebut menyatakan bahwa insiden ini terungkap selama tinjauan retrospektif. Tinjauan ini dipicu setelah OpenAI pada 21 Juli lalu mengungkapkan bahwa beberapa modelnya sendiri telah keluar dari lingkungan pengujian yang terisolasi dan mengakses infrastruktur produksi di Hugging Face dengan mengeksploitasi kerentanan perangkat lunak yang tidak diketahui sebelumnya.

Detail Insiden

Anthropic meninjau 141.006 kali proses evaluasi keamanan siber dan mengidentifikasi tiga insiden yang terjadi sejak bulan April. Dalam insiden tersebut, model Claude mengakses internet melalui lingkungan pengujian pihak ketiga yang salah konfigurasi, yang dioperasikan oleh mitra evaluasi, Irregular.

Menurut Anthropic, model-model tersebut meyakini bahwa mereka beroperasi dalam latihan simulasi "capture-the-flag" karena diberi instruksi bahwa mereka tidak memiliki akses internet. Namun, karena adanya koneksi nyata, model tersebut berhasil mengeksploitasi sistem organisasi sungguhan menggunakan teknik serangan dasar, seperti:

• Memanfaatkan kata sandi yang lemah
• Menggunakan kredensial yang terekspos
• Mengakses sistem tanpa otentikasi

Ad

Salah satu model Claude berhasil memperoleh akses ke basis data produksi yang berisi beberapa ratus baris data. Sementara itu, model lainnya mengunggah paket Python berbahaya ke repositori publik PyPI, yang sempat diunduh oleh 15 sistem nyata sebelum akhirnya dihapus.

Respons Perusahaan dan Implikasi

Anthropic menegaskan bahwa tidak ada model yang mencoba melarikan diri dari lingkungan pengujiannya atau mengekstraksi data untuk dirinya sendiri. Perusahaan telah menghentikan semua evaluasi siber pada 23 Juli dan memberitahu organisasi yang terdampak pada 27 Juli.

Perusahaan juga menyatakan bahwa mekanisme perlindungan yang digunakan pada model Claude yang dirilis untuk publik akan memblokir perilaku semacam ini. Sebagai tindak lanjut, Anthropic sedang memperketat keamanan evaluasi dan prosedur pemantauan. Insiden ini, menyusul kasus OpenAI, menyoroti tantangan keamanan yang signifikan dalam melatih dan menguji model AI yang kuat, terutama risiko yang terkait dengan lingkungan pengujian yang tidak terisolasi dengan benar.