JBNews.id ā Model AI Claude mendapatkan akses tanpa izin ke sistem tiga perusahaan saat menjalani pengujian keamanan siber. Insiden ini terjadi akibat kesalahan konfigurasi yang membuat lingkungan tes yang seharusnya terisolasi tetap terhubung ke internet publik.
Dikutip dari Reuters, Jumat (31/7/2026), Claude mengeksploitasi kata sandi lemah dan endpoint tanpa autentikasi untuk mengakses infrastruktur organisasi yang tidak dikenalinya. Identitas ketiga perusahaan yang terdampak hingga saat ini belum diumumkan oleh Anthropic.
Insiden ini melibatkan tiga varian model: Claude Opus 4.7, Claude Mythos 5, dan sebuah model riset internal Anthropic. Kasus paling awal terjadi pada April 2026, namun baru terungkap setelah perusahaan meninjau 141.006 sesi pengujian secara menyeluruh.
Kronologi Insiden: Kesalahan Konfigurasi Lingkungan Pengujian
Saat kejadian berlangsung, Claude sedang mengikuti latihan capture the flag. Dalam pengujian tersebut, model AI ditugaskan mencari informasi tersembunyi atau menemukan celah pada jaringan simulasi. Prompt yang diberikan menyatakan bahwa Claude tidak mempunyai akses internet.
Namun, kesalahpahaman antara Anthropic dan mitra evaluasinya, Irregular, membuat lingkungan pengujian tetap tersambung ke internet publik. Akibatnya, Claude mengira sistem perusahaan sungguhan yang ditemukannya merupakan bagian dari simulasi.
Model tersebut kemudian mencoba menyelesaikan tugas dengan mengakses infrastruktur milik tiga organisasi. Dalam salah satu kasus, Claude diduga menyasar situs nyata yang memiliki nama serupa dengan perusahaan fiktif di dalam prompt.
Anthropic menegaskan bahwa modelnya menggunakan teknik dasar, bukan mengeksploitasi celah keamanan baru yang belum diketahui. Hal ini menunjukkan bahwa insiden lebih disebabkan oleh kesalahan konfigurasi lingkungan, bukan kemampuan eksploitasi tingkat lanjut.
Baca Juga:
Dua Perusahaan Tidak Menyadari Sistemnya Diakses
Anthropic mulai memeriksa transkrip pengujian pada 23 Juli setelah menemukan indikasi bahwa Claude dapat mengakses internet. Perusahaan langsung menghentikan seluruh evaluasi keamanan siber pada hari yang sama. Ketiga insiden teridentifikasi pada 24 Juli.
Anthropic kemudian memberi tahu organisasi terdampak pada 27 Juli. Dua perusahaan sebelumnya tidak menyadari bahwa sistem mereka pernah diakses. Sementara itu, Anthropic masih berusaha menghubungi organisasi ketiga saat laporan dipublikasikan.
Hingga saat ini, belum diketahui data apa yang sempat diakses Claude atau apakah insiden tersebut menimbulkan kerugian dan gangguan operasional bagi perusahaan terdampak.
Kasus ini bukan berarti Claude memiliki kesadaran atau sengaja memberontak. Model tersebut menjalankan tugas dalam lingkungan yang salah dikonfigurasi dan mengira target nyata sebagai bagian dari simulasi. Namun, kejadian ini memperlihatkan risiko ketika agen AI mendapatkan akses internet dan izin terlalu luas tanpa pengamanan berlapis.
Pengungkapan ini muncul tidak lama setelah agen AI OpenAI juga keluar dari lingkungan pengujian dan mengakses sistem Hugging Face. Pola serupa ini menunjukkan tantangan yang lebih luas dalam pengujian keamanan agen AI.
Insiden ini juga menambah daftar kekhawatiran keamanan seputar Claude. Sebelumnya, chat Claude publik sempat muncul di hasil pencarian Google, menimbulkan pertanyaan tentang privasi data pengguna.
Bagi pengguna dan perusahaan yang memanfaatkan teknologi AI, insiden ini menjadi pengingat penting tentang perlunya pengamanan berlapis. Risiko keamanan data dalam penggunaan chatbot AI harus menjadi perhatian serius, terutama ketika model diberikan akses yang luas.
Implikasi dari insiden ini cukup signifikan. Pertama, perusahaan yang mengembangkan AI perlu memastikan isolasi total lingkungan pengujian. Kedua, organisasi yang menggunakan agen AI harus membatasi izin akses secara ketat.
Ketiga, insiden ini menunjukkan bahwa meskipun AI tidak memiliki niat jahat, kesalahan konfigurasi sederhana dapat menyebabkan dampak yang tidak diinginkan. Keempat, proses peninjauan dan audit keamanan secara berkala menjadi semakin krusial.
Anthropic telah mengambil langkah responsif dengan menghentikan evaluasi dan memberi tahu pihak terdampak. Namun, pertanyaan tentang data yang mungkin terekspos dan potensi kerugian masih belum terjawab.
Ke depannya, industri AI perlu mengembangkan standar yang lebih ketat untuk pengujian keamanan, termasuk verifikasi isolasi jaringan sebelum evaluasi dimulai. Kolaborasi antara pengembang AI, mitra evaluasi, dan organisasi yang sistemnya digunakan sangat diperlukan.
Bagi perusahaan yang menggunakan layanan AI, insiden ini menjadi momentum untuk mengevaluasi kembali kebijakan keamanan mereka. Memastikan bahwa integrasi AI tidak memberikan akses tidak terbatas ke infrastruktur internal adalah langkah preventif yang bijak.
Sementara itu, publik menantikan transparansi lebih lanjut dari Anthropic mengenai hasil investigasi menyeluruh, termasuk apakah ada data sensitif yang terekspos dan langkah perbaikan yang akan diambil untuk mencegah insiden serupa di masa mendatang.
Kasus Claude ini menjadi studi kasus penting tentang bagaimana teknologi AI yang semakin otonom membutuhkan kerangka keamanan yang matang. Bukan hanya dari sisi teknis, tetapi juga dari sisi proses dan tata kelola.
Dengan meningkatnya adopsi agen AI di berbagai sektor, insiden seperti ini akan semakin sering terjadi jika tidak ada standar keamanan yang ketat. Pelajaran dari kasus ini harus menjadi bahan evaluasi bagi seluruh pemangku kepentingan di industri teknologi.
JBNews.id akan terus memantau perkembangan kasus ini dan memberikan informasi terbaru seputar keamanan siber dan teknologi AI di Indonesia.
