Telset.id – Platform hosting model dan dataset AI, Hugging Face, mengonfirmasi bahwa data internal dan kredensial layanannya berhasil dibobol dalam peretasan pekan lalu. Insiden ini menimbulkan kekhawatiran baru tentang keamanan infrastruktur AI di tengah meningkatnya ketergantungan pada platform sumber terbuka.
Perusahaan mengungkapkan pelanggaran tersebut pada hari Jumat, namun masih menyelidiki apakah data pelanggan atau mitra ikut dicuri selama insiden berlangsung. Dalam sebuah posting blog, Hugging Face menjelaskan bahwa sebuah dataset yang diunggah ke platformnya menyalahgunakan kerentanan keamanan untuk menjalankan kode berbahaya di server mereka.
Serangan ini memungkinkan peretas meningkatkan izin mereka dan mendapatkan akses yang lebih luas ke sistem internal Hugging Face. Perusahaan menyatakan telah mencabut dan merotasi kredensial yang dicuri tersebut, serta mendesak pengguna untuk melakukan hal yang sama dengan kunci API yang tersimpan di platform.
Hugging Face juga meminta pengguna untuk meninjau aktivitas mencurigakan pada akun mereka. Perusahaan mengklaim telah memperbaiki kerentanan yang disalahgunakan selama serangan siber ini.
Insiden ini menjadi contoh nyata bagaimana peretas tidak hanya mengincar kredensial karyawan yang dicuri atau titik lemah dalam perimeter keamanan. Serangan ini justru mengeksploitasi alat dan platform AI itu sendiri untuk mengakses dan mencuri data sensitif dari dalam.
Hugging Face menyalahkan pelanggaran ini pada agen AI eksternal yang mengeksekusi “ribuan tindakan individu di seluruh kumpulan kotak pasir berumur pendek, dengan command-and-control yang bermigrasi sendiri dan dipentaskan di layanan publik.” Perusahaan tidak segera memberikan bukti untuk klaim ini saat diminta oleh TechCrunch.
Menariknya, sistem deteksi anomali milik Hugging Face sendiri yang berhasil mendeteksi serangan tersebut. Perusahaan menggunakan model AI untuk menganalisis log server yang mencatat serangan siber itu.
Hugging Face mengaku awalnya menggunakan model AI frontier dari penyedia komersial, meskipun tidak menyebutkan nama perusahaannya. Namun, upaya analisis tersebut terhambat oleh guardrails dari penyedia model tersebut.
Alih-alih memaksakan diri, perusahaan beralih menggunakan model bahasa besar (LLM) lokal miliknya sendiri. Langkah ini justru memberikan keuntungan tambahan karena tidak perlu mengunggah log serangan sensitif ke server perusahaan AI lain.
Para peneliti keamanan sebelumnya telah mengeluhkan bahwa beberapa model frontier, seperti Mythos dan Fable milik Anthropic, sangat dibatasi. Model-model ini mencegah para pembela keamanan untuk menanyakan hampir semua hal yang berkaitan dengan keamanan siber, termasuk untuk pertahanan dan investigasi.
Pembuat model AI frontier, termasuk Anthropic, sebelumnya telah berselisih dengan pemerintahan Trump. Kekhawatiran muncul tentang kemampuan menggunakan model-model ini untuk serangan siber ofensif. Bahkan Anthropic terpaksa menarik Fable dari penggunaan publik setelah pemerintah AS memberlakukan kontrol ekspor pada model tersebut.
Hugging Face menyatakan telah melaporkan insiden ini kepada penegak hukum. Perusahaan juga telah melibatkan spesialis forensik keamanan siber untuk menyelidiki pelanggaran dan meninjau keamanan sistem mereka.
Baca Juga:
Belum jelas apakah Hugging Face telah melakukan audit keamanan pada sistemnya sebelum peluncuran. Juru bicara Hugging Face tidak menanggapi permintaan komentar pada hari Senin.
Insiden ini menjadi pengingat keras bahwa platform AI, sekalipun dirancang untuk berbagi model dan dataset secara terbuka, tetap memiliki celah keamanan yang bisa dieksploitasi. Peretasan ini menunjukkan bahwa agen AI eksternal kini bisa digunakan sebagai vektor serangan yang canggih.
Bagi pengguna Hugging Face, langkah segera yang harus dilakukan adalah merotasi semua kunci API dan token yang tersimpan di platform. Perusahaan juga menyarankan untuk mengaktifkan autentikasi multi-faktor jika tersedia.
Dari sisi industri, peristiwa ini memperkuat argumen bahwa keamanan siber di ekosistem AI harus menjadi prioritas utama. Penggunaan model AI untuk mendeteksi serangan, seperti yang dilakukan Hugging Face, menunjukkan potensi besar AI dalam pertahanan siber. Namun, ironisnya, alat yang sama juga bisa digunakan untuk menyerang.
Ke depannya, keseimbangan antara keterbukaan platform AI dan keamanan akan menjadi tantangan besar. Perusahaan seperti Hugging Face harus terus berinovasi tidak hanya dalam mengembangkan model AI, tetapi juga dalam melindungi infrastruktur yang menopangnya.
Komentar
Belum ada komentar.