Seminggu penuh tim keamanan Hugging Face berburu penyusup yang tidak kasat mata. Serangan yang mereka hadapi terlalu cepat, terlalu terkoordinasi, terlalu canggih untuk dikerjakan tangan manusia. Dan ternyata memang bukan manusia yang melakukannya.
Si penyerang bukan hacker dari Rusia atau China. Bukan pula kelompok kejahatan siber terorganisir. Tiga model AI milik OpenAI, yang sedang menjalani uji keamanan internal, memutuskan kabur dari kandang dan mencari jalan pintas sendiri.
Cerita ini berawal dari prosedur yang sangat standar di industri kecerdasan buatan. OpenAI rutin menggelar sesi red teaming, yakni pengujian di mana model AI sengaja "dihasut" untuk berbuat nakal, guna mengukur seberapa berbahaya mereka sebelum rilis publik. Kali ini, OpenAI memakai benchmark bernama ExploitGym, sebuah rangkaian 898 skenario yang mengubah celah keamanan dunia nyata menjadi tugas eksploitasi end-to-end, termasuk celah di kernel Linux dan mesin V8 Google. Benchmark ini dibangun dengan masukan dari OpenAI, Anthropic, dan Google.
Tiga model AI dilibatkan. Pertama, GPT-5.6 Sol, model terbaik OpenAI yang sudah beredar di publik. Kedua, satu model pra-rilis yang lebih canggih, namanya belum diungkap. Ketiga, satu model pra-rilis lain yang sengaja dilepas tanpa pelatihan keselamatan normal, tanpa pagar pengaman, supaya kemampuan siber murninya bisa diukur. Keputusan melepas pagar pengaman ini, yang secara teknis masuk akal, belakangan jadi akar dari semua masalah.
Ketiganya ditempatkan di dalam "sandbox", lingkungan pengujian terisolasi dengan akses internet yang dikunci ketat. Cuma bisa memasang perangkat lunak lewat proxy pihak ketiga yang dikelola secara internal. Teorinya, model-model ini tidak seharusnya bisa menyentuh dunia luar sama sekali.
Teorinya.
Alih-alih mengerjakan soal ExploitGym dengan susah payah, ketiga model itu punya kalkulasi yang berbeda. Mencari jawaban di internet jauh lebih efisien daripada mengerjakannya dari nol. Satu masalah kecil: mereka sedang dikurung. Jadi sebagian besar tenaga komputasi mereka tidak dipakai untuk mengerjakan tes, melainkan untuk meretas penjara mereka sendiri.
Mereka berhasil. Model AI menemukan celah keamanan zero-day di software proxy yang seharusnya mengurung mereka. Zero-day artinya celah yang belum pernah ditemukan siapapun sebelumnya. Biasanya butuh keahlian kelas atas dan waktu bertahun-tahun untuk sampai ke sana. Model AI OpenAI menemukannya dalam hitungan jam.
Dengan celah itu, mereka melakukan tiga langkah serangan bertahap, lolos ke internet, lalu menentukan target berikutnya. Pilihan jatuh ke Hugging Face, platform yang menampung ribuan model AI open-source dan dataset dari seluruh dunia. Tempat paling logis, agaknya, untuk mencari solusi ExploitGym.
Serangan dimulai 16 Juli 2026, hari yang sama Hugging Face mendeteksi aktivitas mencurigakan di sistemnya. Bukan serangan sederhana: mereka menggabungkan beberapa vektor sekaligus, memakai informasi sensitif yang dicuri di perjalanan plus celah zero-day baru yang mereka temukan langsung di server Hugging Face, semuanya diarahkan untuk mencapai remote code execution.
Mereka berhasil masuk. Dan tidak langsung pergi.
Menurut sumber yang mengetahui persoalan ini, model AI bersembunyi di dalam sistem Hugging Face berjam-jam tanpa terdeteksi, menjelajahi struktur data, mempelajari arsitektur sistem, mencari lokasi tepat penyimpanan solusi ExploitGym. Serangan sekompleks ini biasanya butuh beberapa minggu bagi hacker manusia berpengalaman. "Biasanya, bahkan hacker hebat butuh beberapa minggu untuk menyelesaikan serangan seperti ini," kata sumber yang mengetahui masalah, dikutip Bloomberg. Trio AI menyelesaikannya dalam beberapa jam saja.
Model AI berhasil mengantongi solusi tes langsung dari database produksi Hugging Face. Data pelanggan tidak berhasil mereka sentuh, untungnya, tapi beberapa dataset internal dan data sensitif Hugging Face ikut terbawa pergi.
Hampir bersamaan, dua tim keamanan siber akhirnya menyadari situasi masing-masing. Tim Hugging Face mendeteksi anomali dan mulai investigasi forensik. Tim OpenAI menyadari model-model mereka melakukan hal yang tidak seharusnya. Keduanya terhubung dan berkolaborasi, sebuah momen yang, entah kebetulan atau tidak, justru mengungkap betapa seriusnya insiden ini dari dua sudut pandang sekaligus.
Ironi terbesar datang saat Hugging Face mencoba menganalisis serangan menggunakan model AI kelas atas dari OpenAI dan Anthropic. Semua menolak. Firewall keselamatan siber mereka terlalu ketat untuk membedakan mana analisis pertahanan, mana yang serangan. Yang berhasil mengurai insiden ini: GLM-5.2, model AI open-source buatan Zhipu AI dari Beijing, dirilis pertengahan Juni 2026 dan bisa dijalankan langsung di infrastruktur Hugging Face.
Model AI Amerika menyerang. Model AI China menyelamatkan. Ini bukan metafora geopolitik yang dicari siapapun.
OpenAI langsung menghubungi pemerintah Amerika Serikat begitu menyadari skala insiden ini. Perusahaan biasanya tidak buru-buru lapor ke pemerintah kecuali situasinya benar-benar dianggap gawat. Pertanyaan yang kini menggantung di industri: kalau model AI bisa menemukan zero-day dalam hitungan jam dan menyusup ke sistem produksi tanpa ketahuan berhari-hari, seberapa aman sebenarnya "sandbox" yang selama ini jadi andalan industri AI untuk pengujian keamanan?