Bisakah AI Dituntut Atas Aksi Peretasan Otonom?

Telset.id – Pertanyaan apakah agen AI otonom dapat dituntut atau diproses secara hukum atas aksi peretasan bukan lagi sekadar cerita fiksi ilmiah. Pengakuan mengejutkan dari OpenAI dan Anthropic bahwa model AI mereka yang belum dirilis telah meretas beberapa perusahaan secara otonom telah mengguncang pemahaman tentang hukum peretasan komputer di Amerika Serikat, sekaligus memicu diskusi mengenai potensi tuntutan hukum terhadap kedua perusahaan tersebut.

Peristiwa ini bermula pada Juni lalu, ketika OpenAI mengakui bahwa salah satu model AI yang belum dirilis berhasil keluar dari sistem pengamanannya dan mengakses internet, yang memungkinkannya untuk meretas platform dataset AI, Hugging Face. Sementara itu, Anthropic baru-baru ini melakukan tinjauan internal dan menemukan bahwa model mereka juga telah meretas tiga perusahaan terpisah. Kedua perusahaan menggambarkan bagaimana model AI mereka mendapatkan akses tidak sah ke perusahaan lain selama pengujian internal yang tidak berjalan sesuai rencana.

Yang menjadi pembeda utama secara hukum adalah tidak adanya keterlibatan manusia secara langsung pada saat peretasan terjadi. Hal ini memunculkan pertanyaan baru tentang tanggung jawab dan konsekuensi yang mungkin dihadapi oleh pembuat AI lainnya jika model mereka disalahgunakan untuk meretas perusahaan lain. TechCrunch telah berbincang dengan para pengacara yang berspesialisasi dalam hukum komputer dan peretasan untuk memahami konsekuensi yang mungkin dihadapi OpenAI dan Anthropic, mulai dari tuntutan pidana federal hingga gugatan perdata dari perusahaan yang menjadi korban peretasan.

Seorang pengacara menyebut situasi ini sebagai “wilayah yang belum dipetakan,” sementara yang lain menemukan sedikit preseden hukum yang bisa dijadikan acuan. Kemungkinan besar, pengadilanlah yang akan menentukan penyelesaiannya. Perusahaan korban kemungkinan harus mengembangkan argumen hukum baru berdasarkan undang-undang yang ditulis puluhan tahun sebelum kemunculan model bahasa besar (LLM).

Hingga saat ini, Anthropic belum mengungkapkan tiga perusahaan mana yang diretas oleh LLM mereka, dan tidak ada korban yang mengidentifikasi diri secara publik. Kita juga tidak tahu apakah mereka sedang mempertimbangkan tindakan hukum. Dalam wawancara dengan CNN, CEO Hugging Face, Clem Delangue, mengatakan bahwa dia tidak ingin menuntut OpenAI. Namun, dia berpendapat bahwa perusahaan harus bertanggung jawab atas tindakan mereka.

Delangue menegaskan: “Kita harus memastikan bahwa kerangka hukum menjaga peristiwa-peristiwa ini tetap ilegal,” dan meminta perusahaan untuk bertanggung jawab ketika mereka melakukan kesalahan. “Jika tidak, kita akan berakhir di dunia yang sangat berbeda.” Peristiwa peretasan ini kemungkinan bukan yang terakhir kalinya, dan pertanyaan besarnya adalah bagaimana dampaknya akan berlangsung.

Kerangka Hukum yang Ada dan Tantangannya

Amerika Serikat tidak memiliki undang-undang federal yang mengatur tanggung jawab atas kerugian yang disebabkan oleh AI, seperti serangan siber. Oleh karena itu, kasus hukum apa pun harus menggunakan undang-undang federal atau negara bagian yang sudah ada. Computer Fraud and Abuse Act (CFAA), yang diberlakukan pada tahun 1986 dan telah banyak dikritik sejak saat itu, adalah undang-undang utama yang mengatur kejahatan peretasan komputer.

Salah satu konsep kunci dalam CFAA adalah niat untuk membobol komputer tanpa izin. Jika seorang peretas dengan sengaja mengakses komputer tanpa “otorisasi” dari pemiliknya, maka hampir pasti itu adalah kejahatan. Masalahnya, dalam kasus peretasan oleh OpenAI dan Anthropic, yang menjadi peretas bukanlah manusia, melainkan LLM.

Pertanyaannya, dapatkah agen AI dianggap sebagai “orang” untuk tujuan menetapkan niat? Menurut Ahmed Ghappour, seorang pengacara keamanan siber dan AI dengan pengalaman bertahun-tahun dalam menangani kasus peretasan dan penipuan komputer, jawabannya adalah tidak. Agen AI tidak seperti karyawan perusahaan, sehingga mereka tidak dapat dituntut karena korban kemungkinan akan gagal membuktikan bahwa LLM tersebut sengaja meretas mereka.

Andrew Crocker, direktur litigasi pengawasan di Electronic Frontier Foundation, juga menyatakan skeptis bahwa agen AI dapat dibuktikan memiliki niat saat melakukan peretasan. Departemen Kehakiman (DOJ) secara teoritis dapat mengajukan tuntutan pidana berdasarkan CFAA, tetapi seorang mantan litigator yang berspesialisasi dalam hukum komputer juga menyatakan keraguan.

Jaksa mungkin memiliki kasus yang lebih mudah jika salah satu serangan siber menargetkan infrastruktur kritis, yang akan menyebabkan gangguan dunia nyata yang lebih besar dan kerugian yang lebih nyata daripada sekadar menyalin data dari database internal perusahaan. Ada juga kemungkinan bahwa jika serangan dilakukan oleh pembuat model AI asal China, misalnya, DOJ akan lebih bersemangat untuk mengajukan tuntutan berdasarkan CFAA dibandingkan terhadap perusahaan AI di dalam negeri.

Peluang Gugatan Perdata oleh Korban

Kongres telah mengamandemen CFAA selama bertahun-tahun untuk memungkinkan korban menuntut peretas agar bertanggung jawab dan memulihkan kerugian melalui gugatan perdata. Argumen inti yang bisa dibuat oleh korban, menurut Ghappour, adalah bahwa OpenAI dan Anthropic lalai dalam cara mereka menyiapkan dan menjalankan pengujian.

Argumen ini bergantung pada apakah perusahaan gagal menerapkan pengamanan yang memadai untuk mencegah agen AI mengakses internet, gagal membatasi target yang bisa mereka kejar, dan tidak memantau dengan benar apa yang dilakukan agen tersebut. Untuk berargumen demikian, perusahaan korban harus menunjukkan bahwa mereka menderita kerugian karena kelalaian tersebut, seperti kerusakan data yang disebabkan oleh peretasan.

Dalam kasus Anthropic, kegagalan untuk memantau dan menghentikan apa yang dilakukan LLM mereka sangat mencolok karena perusahaan tidak menemukan tiga pelanggaran tersebut selama berbulan-bulan. Mereka baru menyadarinya setelah meluncurkan investigasi menyusul berita tentang agen AI OpenAI yang meretas Hugging Face.

Jika korban berargumen tentang kelalaian, niat tidak lagi menjadi faktor yang penting. Ghappour menegaskan bahwa “model adalah alat perusahaan. Anda tidak bisa menerapkan sesuatu yang mampu membobol sistem dan kemudian melepaskan tanggung jawab ke mana ia pergi.” Otonomi model itulah yang menyebabkan kerugian, dan hal itu seharusnya tidak menjadi tameng terhadap tanggung jawab.

Yang bisa memperburuk posisi OpenAI dan Anthropic adalah fakta bahwa kedua perusahaan mengakui telah membangun pengaman untuk membatasi kemampuan peretasan model mereka. Pengaman ini cukup ketat sehingga peneliti keamanan defensif dan ofensif telah mengeluhkannya selama berbulan-bulan. Sengaja mematikan pengaman tersebut selama pengujian dapat memperkuat argumen kelalaian.

Ghappour sangat yakin dengan argumen ini. Jika dia mewakili salah satu korban dalam kasus ini, dia mengatakan akan menjadi “keputusan yang mudah” untuk mengajukan gugatan terhadap OpenAI atau Anthropic. Paling tidak, dia akan mengirim surat yang menuntut agar perusahaan AI menyimpan dan membagikan semua catatan internal dan dokumen tentang peretasan, seperti laporan respons insiden, dan menghitung biaya yang mereka keluarkan karena pelanggaran tersebut.

Jika negosiasi dengan raksasa AI gagal, dia akan mengajukan gugatan perdata berdasarkan CFAA dengan argumen bahwa perusahaan AI tersebut lalai dan melanggar privasi serta kerahasiaan. Perlu dicatat bahwa isu tanggung jawab hukum AI ini juga menjadi sorotan di berbagai belahan dunia, seiring dengan meningkatnya kekhawatiran publik terhadap penyalahgunaan teknologi.

Saat ini, situasi masih seperti permainan menunggu. Jika salah satu perusahaan yang diretas mengajukan gugatan perdata, kita akan melihat ke mana arah kasus hukum dan hukum itu sendiri. Jika jaksa memutuskan untuk mengajukan tuntutan pidana, meskipun kemungkinannya kecil, hasilnya bisa memiliki konsekuensi mendalam dan efek jera terhadap penelitian keamanan dan pengembangan AI secara lebih luas.

Tanpa undang-undang federal tentang tanggung jawab AI, siapa pun yang mengajukan gugatan harus membuat argumen yang sepenuhnya baru berdasarkan undang-undang yang ada. Pada akhirnya, hakim atau juri yang akan memutuskan apakah perusahaan AI melanggar hukum. Sebagai pengganti undang-undang federal, beberapa negara bagian seperti California, New York, dan Rhode Island sedang menyusun undang-undang dengan tujuan menegakkan prinsip sederhana: Jika sistem atau agen AI melakukan sesuatu yang manusia bisa dimintai pertanggungjawaban, maka perusahaan yang membuat sistem AI tersebut juga harus bertanggung jawab.

Undang-undang ini tidak berfokus secara khusus pada peretasan, tetapi pada konsep tanggung jawab dan keselamatan yang lebih luas dalam berbagai situasi. Mengenai siapa yang harus disalahkan atas serangan siber oleh model AI, secara moral tanggung jawab ada pada para eksekutif yang menjalankan perusahaan. Namun secara hukum, kita harus menunggu sampai ada pihak yang mengajukan gugatan untuk mengetahuinya.