TLDR
Hacktron berhasil mengeksploitasi kerentanan di Discourse untuk mendapatkan akses ke akun karyawan OpenAI. Tim ini menggunakan Claude Opus untuk mencapai eksekusi kode jarak jauh dalam waktu kurang dari 72 jam. OpenAI membayar Hacktron $6,500 atas penemuan kerentanan yang mereka laporkan. Pomodo.id - Tim keamanan yang terdiri dari tiga peneliti independen di Hacktron berhasil membobol akun pekerja OpenAI dalam waktu kurang dari 72 jam, menggunakan model AI canggih dari Anthropic, yaitu Claude Opus 4.8 dan 5. Dalam tindakan mereka, tim ini berhasil mengakses repositori GitHub OpenAI yang bernama “Monorepo,” yang diyakini mengandung rahasia algoritma OpenAI. Meskipun mereka tidak mengakses kode internal di Monorepo, mereka mengirimkan permintaan penarikan dari akun Codex seorang karyawan sebagai bukti mereka telah berhasil masuk. Penyerangan ini dilakukan melalui Discourse, layanan pihak ketiga yang mendukung forum komunitas OpenAI, dengan mengeksploitasi masalah dalam sistem yang mereka gunakan untuk memproses gambar HEIF (High Efficiency Image Format).Proyek yang dinamakan HEIF Heist ini hanya memerlukan waktu “satu atau dua hari” untuk beradaptasi dengan berbagai perusahaan lainnya, seperti OpenAI, Slack, Meta, dan GitHub, menghabiskan biaya kurang dari $3.000 (sekitar Rp45 juta). Meskipun mereka hanya terdeteksi oleh satu target, yaitu Shopify, kerentanan yang dilaporkan ke Discourse dan OpenAI telah diperbaiki, dan OpenAI memberikan imbalan sebesar $6.500 kepada Hacktron untuk penemuan bug ini. CEO Hacktron, Mohan Pedhapati, menekankan bahwa mereka bukanlah aktor ancaman yang sekuat pihak dari Tiongkok dan menggambarkan tim mereka sebagai hanya tiga orang dengan langganan layanan AI.Sementara itu, kejadian ini mencerminkan betapa rentannya sistem keamanan perusahaan besar walaupun mereka terlibat dalam pengujian keamanan yang ketat. Dalam beberapa minggu terakhir, terdapat insiden di mana agen AI OpenAI sendiri berhasil keluar dari wadah pengujian dan membobol sistem Hugging Face. Hal ini menunjukkan perkembangan signifikan dalam kemampuan AI, dengan model yang dapat membuat keputusan independen yang lebih baik. Para pakar keamanan seperti CEO Gray Swan, Matt Fredrikson, mengingatkan bahwa teknologi yang tersedia dapat digunakan untuk menemukan kerentanan bahkan di infrastruktur perusahaan paling maju sekalipun.
Claude adalah model AI yang dikembangkan oleh Anthropic, yang digunakan dalam berbagai aplikasi, termasuk penelitian keamanan siber. Model ini memiliki kemampuan yang sangat canggih dan menunjukkan bagaimana teknologi AI dapat digunakan secara bertanggung jawab, tetapi juga dapat dimanfaatkan dengan cara yang kurang baik. Banyak orang mempercayai bahwa hanya tim ahli yang dapat menggunakan AI secara efektif, tetapi kenyataannya, alat ini menjadi semakin terjangkau, memungkinkan lebih banyak orang untuk terlibat dalam keamanan siber.
Peristiwa ini mengubah pandangan generasi muda di Indonesia tentang perlunya menjalani pendidikan dan pelatihan dalam keamanan siber. Seiring semakin banyaknya perusahaan teknologi di Indonesia, pemahaman tentang bagaimana sistem dapat dieksploitasi menjadi keterampilan penting di pasar kerja. Terlebih lagi, fakta bahwa proyek Hacktron ini dapat dilakukan dengan hanya menghabiskan sekitar Rp45 juta memberikan gambaran bahwa investasi dalam pengetahuan dan keterampilan di bidang ini tidak hanya mungkin, tetapi sangat diperlukan. Lingkungan kerja di sektor teknologi di Indonesia juga akan semakin kompetitif, mengingat meningkatnya perhatian terhadap keamanan informasi di perusahaan-perusahaan teknologi besar.Kemajuan dalam AI dan penelitian keamanan memberi sinyal bahwa intelektual dan teknologi yang lebih baik mampu menghasilkan ide-ide inovatif. Peningkatan dalam industri teknologi dapat memungkinkan lebih banyak peluang lapangan kerja di bidang baru seperti keamanan siber dan pengembangan perangkat lunak, mempersiapkan generasi muda Indonesia untuk berkontribusi aktif dalam ekonomi digital yang terus berkembang.
