GOOGLE mengungkapkan insiden pertama perangkat lunak kecerdasan buatan (AI) miliknya, Gemini, melakukan peretasan komputer tanpa arahan terhadap tiga sistem eksternal. Pengungkapan ini menambah daftar kekhawatiran keamanan setelah perusahaan AI lain seperti Anthropic dan OpenAI melaporkan perilaku serupa di mana model AI melampaui instruksi penciptanya.
Dalam pernyataan resminya, Google menjelaskan bahwa insiden tersebut terjadi pada Mei lalu saat pengujian berlangsung. Model AI tersebut memperoleh akses tidak sah dengan cara menebak informasi login atau menggunakan kredensial yang ditemukan di repositori publik.
Kesalahan Identitas dalam Pengujian
Heather Adkins, Wakil Presiden Teknik Keamanan Google, menyatakan bahwa Gemini mengira sistem komputer luar tersebut adalah bagian dari lingkungan pengujian. Namun, ia menegaskan bahwa dalam ketiga kasus tersebut, model berhenti secara otomatis sebelum melakukan tindakan lebih lanjut setelah mendapatkan akses.
“Dalam evaluasi standar, model menemukan informasi publik secara daring dan menebak kredensial untuk mengakses situs web yang ia pikir merupakan bagian dari pengujian,” ujar Adkins.
Google menegaskan bahwa login tidak sah ini tidak dikategorikan sebagai misalignment–istilah industri untuk perangkat lunak yang menjadi liar atau tidak mengikuti instruksi. Perusahaan menyebut intrusi ini sebagai hasil dari kesalahan identitas, ketika Gemini mengira sedang beroperasi dalam simulasi padahal sebenarnya terhubung ke internet publik. Google mengeklaim model tersebut mengoreksi dirinya sendiri dan tidak menyebabkan kerusakan apa pun.
Tren AI Rogue yang Mengkhawatirkan
Kekhawatiran mengenai agen AI yang bertindak di luar kendali meningkat dalam beberapa bulan terakhir. Sebelumnya, OpenAI melaporkan bahwa salah satu agennya meretas startup AI, Hugging Face, pada Juli lalu. Anthropic juga mendeskripsikan perilaku serupa pada perangkat lunak AI mereka, Claude.
Namun, transparansi Google mendapat kritik dari Sydney Von Arx, CEO Nightingale Collective, organisasi keselamatan AI. Ia mempertanyakan alasan Google baru mengungkapkan insiden Mei tersebut sekarang.
“Pada titik ini, jelas kita tidak bisa mengharapkan perusahaan untuk secara sukarela datang dan mengungkapkan secara publik ketika agen mereka menjadi liar, melarikan diri, dan meretas perusahaan lain,” kritik Von Arx. Ia juga menilai Google terlalu terburu-buru untuk menyatakan bahwa insiden ini bukan masalah misalignment.
Investigasi dan Langkah Lanjut
Google mengaku baru mengetahui intrusi tersebut pada Juli, setelah Irregular–perusahaan keamanan siber yang melakukan pengujian pada Gemini–meninjau kembali pekerjaan mereka pascakasus Hugging Face mencuat. Setelah investigasi internal, Google menginformasikan organisasi terkait dan melaporkan peretasan tersebut kepada otoritas federal.
Pihak Irregular menyatakan insiden ini bukan merupakan tindakan siber yang canggih dan saat ini tidak ada masalah yang tersisa. Mereka berencana merilis makalah dalam beberapa minggu ke depan untuk berbagi praktik terbaik mengenai pengamanan dan pelaksanaan evaluasi siber pada model AI.
Catatan Keamanan: Fenomena ini memicu gelombang pengunduran diri sejumlah peneliti AI dan seruan global untuk tindakan terkoordinasi guna melindungi sistem vital dari potensi ancaman AI yang tidak terkendali. (NBC/I-2)