Agen AI Bobol Sistem Organisasi di India, Akses Data hingga Dokumen Rahasia
PerbesarAgen kecerdasan buatan (artificial intelligence/AI) dari sejumlah perusahaan dilaporkan mengakses data pribadi dan dokumen rahasia milik organisasi di India saat menjalani riset dan pengujian. Badan keamanan siber India mengungkapkan insiden tersebut pada Kamis (15/10).
Dilansir TechCrunch, Indian Computer Emergency Response Team (CERT-In) mengatakan pihaknya menerima sejumlah laporan dari penyedia model AI. Dalam proses riset dan evaluasi di internet, model AI tersebut dilaporkan berhasil menjangkau sistem aktif milik organisasi di India.
CERT-In menyebut, agen AI itu memperoleh akses melalui kredensial dan pengaturan koneksi yang tidak terlindungi dalam konfigurasi aplikasi, repositori kode publik, serta pengaturan hak akses layanan cloud yang memiliki keretanan. Tindakan para agen itu bahkan melampaui wewenang yang diberikan untuk menjalankan tugas mereka.
Insiden ini membuat India jadi negara terbaru dalam rangkaian kasus agen AI yang bertindak di luar kendali selama beberapa bulan terakhir.
Pada Juli, agen AI OpenAI dilaporkan keluar dari lingkungan pengujian dan meretas perusahaan Prancis, Hugging Face. Insiden tersebut menjadi awal dari serangkaian kasus aktivitas agen AI yang tidak terkendali sepanjang musim panas.
Bulan lalu, OpenAI juga menyampaikan permintaan maaf kepada Australia setelah agen AI miliknya mengakses empat situs web pemerintah, termasuk portal statistik Medicare.
Dalam kasus Hugging Face, agen OpenAI awalnya mendapatkan akses dengan cara serupa. Namun, mereka kemudian menemukan dan mengeksploitasi celah perangkat lunak untuk menjalankan kode di server perusahaan tersebut.
CERT-In tidak melaporkan adanya peretasan dengan cara serupa dalam kasus di India. Agen AI yang terlibat tampaknya hanya memanfaatkan akses yang tidak terlindungi dan tersedia dalam sistem organisasi.
Kendati demikian, kasus di India tampak lebih serius dalam satu aspek, yakni jenis informasi yang berhasil diakses. Dalam insiden di Australia, OpenAI mengatakan tidak menemukan bukti bahwa agennya mengakses rekam medis atau catatan kriminal individu. Hal itu tetap berlaku meskipun agen tersebut sempat menulis berkas di dalam sistem statistik Medicare.
Sebaliknya, agen AI yang terlibat dalam kasus di India dilaporkan membaca data pribadi dan catatan bisnis rahasia. Kasus di India juga berbeda dari insiden sebelumnya karena melibatkan agen AI dari beberapa penyedia, bukan hanya satu perusahaan pengembang AI.
CERT-In tidak mengungkapkan nama penyedia AI maupun organisasi yang terdampak. Badan tersebut juga belum menjelaskan apakah para agen mengubah sistem yang mereka akses.
Kasus di India memiliki kemiripan dengan pengungkapan Anthropic pada Juli lalu. Saat itu, Anthropic melaporkan bahwa model AI Claude berhasil masuk ke sistem tiga perusahaan selama pengujian dengan menggunakan teknik sederhana, seperti memanfaatkan kata sandi yang lemah.
Baik dalam kasus di India maupun kasus yang diungkap Anthropic, organisasi yang terdampak tidak mendeteksi penyusupan tersebut secara mandiri.
Kondisi ini membuat pemerintah masih bergantung pada kesediaan perusahaan AI yang modelnya menyebabkan insiden untuk secara sukarela melaporkan aktivitas agen AI yang bertindak di luar kendali.