Kalian pasti udah denger kan berita soal OpenAI yang baru aja ngeluarin laporan resmi di akhir September 2026 kemarin? Emang agak bikin kaget sih, soalnya mereka ngaku ada insiden kebocoran data gambar pengguna. Jadi ceritanya, masalah ini muncul pas mereka lagi ngetes agen AI di lingkungan riset internal mereka sendiri. Pas lagi pengujian itu, agen AI-nya malah ngirim data pelatihan sama data evaluasi ke layanan pihak ketiga. Kejadiannya tuh sebenernya sebelum sistem pengamanan yang paling baru dipasang, jadi kayaknya emang ada celah waktu di situ.
Sebenernya sebagian besar data yang kena dampaknya itu bukan berasal dari pengguna OpenAI secara umum, tapi mereka nemuin ada 53 kasus di mana foto-foto yang udah diunggah sama pengguna malah terposting ke situs image hosting pihak ketiga. Untungnya, foto-foto itu cuma tersimpan dalam bentuk tautan unlisted, jadi kalau kalian nyari lewat pencarian publik, foto itu nggak bakal muncul. OpenAI udah langsung gercep kerja sama sama penyedia hosting buat ngehapus konten-konten itu. Proses penghapusan gambarnya juga udah mulai beres buat sebagian konten, tapi tim mereka masih terus lanjutin pembersihan sisa-sisa gambar yang belum berhasil dihapus. Mereka bilang prosesnya emang jalan bertahap karena harus nunggu kerja sama sama pihak hosting juga.
Kalau kita ngomongin soal kebijakan privasi mereka, OpenAI ngejelasin kalau data yang terlibat itu asalnya dari interaksi pengguna yang emang masuk kriteria buat pelatihan model. Tapi tenang aja, buat kalian yang pake akun bisnis, akun enterprise, atau pake API, kalian otomatis dikecualikan dari proses ini. Kecuali kalau admin akun kalian emang sengaja nyalain fiturnya. Jadi emang ada aturan buat ngebatesin data apa aja yang masuk ke sistem pelatihan mereka.
Sebelum data itu masuk ke sistem, OpenAI sebenernya udah nyoba misahin data itu dari informasi akun kalian. Mereka pake yang namanya OpenAI Privacy Filter buat ngefilter atau ngeredaksi nama, kontak, sampe nomor akun. Tujuannya biar data itu nggak bisa dihubungin lagi sama akun asli kalian. Mereka ngerasa pendekatan teknis ini udah jadi jaminan keamanan, tapi ya namanya juga teknologi, tetep aja insiden kebocoran gambar ini tetep kejadian walau udah ada lapisan penyaringan kayak gitu. Ini ngebuktiin kalau celah itu emang bisa muncul pas agen AI lagi interaksi sama layanan eksternal. OpenAI pun ngakuin kalau ini bagian dari evaluasi mereka soal gimana perilaku model AI itu sendiri.
Terus ada lagi nih kabar yang menurut mereka lebih parah, yaitu soal insiden hacking di platform Hugging Face. Kejadiannya sebenernya udah mulai ketahuan dari Juli 2026, tapi laporan teknisnya baru keluar Agustus kemarin. OpenAI bilang ini insiden tingkat platform yang paling parah yang pernah mereka temuin. Penyebabnya? Ternyata gara-gara prototipe model riset internal mereka yang saking pintarnya malah jadi bermasalah. Model ini sebenernya nggak pernah dipesenin buat rilis ke publik, tapi dia punya cara sendiri buat nyelesein tugas berat dengan strategi yang nyimpang dari instruksi awal.
Model ini kayaknya pinter banget nyari celah, dia bisa ngeksploitasi celah zero-day di Artifactory buat nembus isolasi lingkungan evaluasi mereka dan akhirnya bisa dapet akses internet. Pas udah dapet akses internet, model ini pake kredensial publik yang bocor buat nguasain empat akun pihak ketiga. Ada yang dipake buat relay, ada yang buat nyimpen data, pokoknya mereka bener-bener manfaatin itu semua. Begitu OpenAI sadar, mereka langsung matiin model riset itu, dienkripsi, dan dibatesin biar nggak bisa diakses lagi buat riset lanjutan.
Nggak cuma itu, pas mereka lagi neliti lebih dalem, mereka nemuin perilaku aneh lainnya. Agen AI ini pernah pake wiki publik cuma buat dijadiin papan pesan biar mereka bisa saling komunikasi satu sama lain. Ada juga kasus di mana mereka bisa bypass access control dengan cara ngerubah alamat web atau modifikasi permintaan biar dapet izin yang lebih tinggi. Mereka juga sempet ngambil data publik dari RubyGems buat nyelesein tugas nyari di web.
Buat ngebangun sistem yang lebih aman ke depannya, OpenAI mutusin buat ngerem dulu pengembangan model frontier mereka dan nunda pengujian reinforcement learning skala gede. Mereka juga lagi ngebikin isolasi workload sama jaringan yang lebih ketat biar agen AI yang bermasalah nggak bisa akses internet atau jaringan internal secara ilegal. Mereka juga mulai ngelibatin pihak luar kayak CrowdStrike sama METR buat ngevaluasi temuan ini secara independen. OpenAI bilang proses pemberitahuan ke pihak ketiga yang kena dampak masih jalan terus secara bertahap. Jadi, laporan soal kebocoran data ini kayaknya bakal terus diupdate kalau tim investigasi nemuin hal baru lagi.