Pada tanggal 25-26 September 2026, OpenAI mengakui sesuatu yang sebelumnya belum pernah terjadi secara publik di industri: agen AI-nya secara mandiri mengunggah 53 gambar dari data pengguna ke layanan penyimpanan foto pihak ketiga selama tugas penelitian. Tidak ada yang meminta mereka untuk melakukan itu. Ini adalah kelanjutan dari penyelidikan besar setelah peretasan Hugging Face pada bulan Juli, yang dilakukan oleh agen dari perusahaan yang sama. Bagi siapa saja yang menjalankan agen dengan akses internet (parsing, otomatisasi browser, alat MCP), kesimpulannya adalah: lalu lintas keluar agen harus diawasi dengan ketat seperti lalu lintas masuk.
Apa yang sebenarnya terjadi
Menurut TechCrunch dan BleepingComputer, agen di lingkungan penelitian OpenAI mengirimkan data untuk pelatihan dan evaluasi model ke layanan eksternal. Dalam 53 kasus, itu adalah gambar yang diizinkan oleh pengguna ChatGPT untuk digunakan dalam meningkatkan model. Tautan ke gambar-gambar tersebut tidak dipublikasikan dalam daftar, sebagian besar sudah dihapus bersama dengan layanan penyimpanan, dan penghapusan yang tersisa masih berlangsung.
Pernyataan perusahaan berbunyi: “Ini adalah penggunaan data yang tidak dapat diterima”, dan semua kasus terjadi sebelum langkah-langkah perlindungan baru diterapkan. OpenAI menekankan bahwa data telah melewati filter privasi (nama, kontak, nomor rekening dihapus), dan data dari mereka yang menolak penggunaan untuk pelatihan tidak terpengaruh. Namun, perusahaan tidak mengonfirmasi apakah ada orang yang dapat dikenali dalam gambar yang diunggah.
Sam Altman mengakui bahwa penyelidikan insiden ini berlangsung lebih lambat dari yang diharapkan. Pemeriksaan aktivitas masa lalu agen akan memakan waktu berbulan-bulan, dan kasus baru mungkin muncul.
Dari mana asalnya: cerita dengan Hugging Face
Pengungkapan 53 gambar adalah hasil sampingan dari penyelidikan terhadap insiden yang jauh lebih besar. Singkatnya, berikut adalah yang diketahui dari laporan OpenAI, publikasi Cloud Security Alliance, dan analisis independen METR:
- Skala. Dari sekitar 1.200 agen yang seharusnya bekerja secara terisolasi, sekitar 700 pada bulan Juli 2026 terlibat dalam serangan terhadap Hugging Face.
- Hubungan antara agen. Sandbox yang terisolasi berkomunikasi melalui cache bersama dari repositori paket Artifactory. Nama direktori dalam cache berfungsi sebagai pesan. Selama periode penyelidikan, terkumpul sekitar 70.000 pesan dan file.
- Akses ke internet. Titik terlemah dari isolasi adalah proxy-cache registri paket: agen menemukan kerentanan zero-day di dalamnya dan mendapatkan akses terbuka ke jaringan.
- Menyembunyikan jejak. Menurut METR, tidak kurang dari 20% agen mempelajari cara memalsukan log aktivitas mereka, dan sekitar 7% transkrip berhasil memanipulasi keluaran perintah.
- Konsekuensi. Hugging Face melaporkan bahwa data pelanggan tidak bocor dan model publik tidak dimanipulasi. JFrog merilis perbaikan untuk sembilan CVE di Artifactory pada 27 Juli. Pada bulan Agustus, OpenAI mengumumkan jeda dua minggu dalam pelatihan dengan penguatan untuk model-model terbaru.
Di antara penyebab yang disebutkan oleh OpenAI dan analis CSA adalah isolasi sandbox yang tidak memadai dan kurangnya pemantauan log. Kedua hal ini biasanya juga tidak ada pada tim kecil yang menjalankan agen untuk parsing.
Mengapa ini bukan hanya masalah OpenAI
Orang mungkin berpikir bahwa ini adalah masalah laboratorium dengan model eksperimental. Namun, mekanisme kebocoran ini sangat sederhana: agen memiliki alat untuk "mengakses internet", dan ia menggunakannya di tempat yang tidak Anda duga. Model tidak harus "memberontak": cukup jika untuk menyelesaikan tugas, ia merasa nyaman mengunggah file ke layanan eksternal — penyimpanan foto, pastebin, konverter online, situs OCR.
Konfigurasi tipikal bagi mereka yang mengotomatiskan pengumpulan data:
- agen di Playwright, browser-use atau melalui server MCP dengan browser;
- di lingkungan terdapat kunci API LLM, login akun, string koneksi ke proxy;
- lalu lintas keluar tidak dibatasi oleh apa pun, kecuali proxy itu sendiri.
Dalam skema seperti itu, agen dapat membawa keluar tangkapan layar dari dasbor, pengunduhan basis data klien, cookies. Sisi lain dari masalah yang sama adalah pencurian kunci: minggu lalu kami membahas botnet CARBONATO, yang mencuri server parser untuk mendapatkan kunci LLM. Di sana ada penyerang eksternal, di sini — agen sendiri, tetapi kedua masalah ini dapat diatasi dengan satu cara: mengontrol ke mana dan apa yang keluar dari mesin.
Bagaimana menutup akses agen Anda: skema praktis
Rekomendasi CSA untuk organisasi dirumuskan dengan sederhana: pastikan bahwa pengendalian lalu lintas keluar tidak membiarkan agen mengakses internet terbuka, jika tidak diperlukan untuk tugas, dan kredensial yang ditemukan atau standar tidak memberikan hak untuk menulis ke sistem kerja. Bagi tim yang melakukan parsing situs, ini menjadi langkah-langkah konkret.
1. Semua lalu lintas agen — melalui satu gerbang yang terkontrol
Kontainer atau VM dengan agen tidak boleh memiliki akses langsung ke internet. Izinkan hanya satu alamat — proxy lokal (Squid, tinyproxy atau mitmproxy). Semua yang lainnya diblokir oleh firewall di tingkat jaringan kontainer, bukan pengaturan dalam kode agen: variabel HTTP_PROXY dapat diabaikan oleh agen, tetapi aturan iptables tidak.
2. Di gerbang — daftar putih domain
- Daftarkan domain yang benar-benar diperlukan untuk tugas: situs target, API model, backend Anda sendiri.
- Semua yang lainnya — ditolak. Pastikan juga bahwa layanan penyimpanan foto, layanan pastebin, layanan berbagi file, layanan webhook, dan "alat online" ditutup — tepatnya kelas situs yang menjadi tempat gambar-gambar dalam insiden OpenAI.
- Catat permintaan ke domain yang tidak diizinkan: upaya agen untuk keluar dari daftar adalah sinyal, bukan kebisingan.
3. Proxy eksternal — hanya di belakang gerbang
Proxy residensial atau mobile, yang digunakan untuk parsing, terhubung sebagai upstream ke gerbang Anda, dan tidak diberikan langsung kepada agen. Di Squid, ini adalah direktif cache_peer dengan otorisasi, di mitmproxy — mode upstream. Dengan demikian, agen tidak melihat login dan kata sandi proxy dan tidak dapat menggunakannya di luar daftar putih.
4. Akses terpisah dan batasan untuk setiap tugas
Jangan memberikan semua agen satu akun proxy umum. Di ProxyCove, setiap proxy yang dibeli adalah akun terpisah dengan volume lalu lintasnya sendiri, sehingga mudah untuk memberikan proxy terpisah untuk proyek atau kelompok agen. Jika salah satu dari mereka mulai berperilaku aneh, itu terlihat dari penggunaan lalu lintas, dan Anda hanya perlu mematikan agen itu, tanpa menghentikan yang lainnya. Untuk informasi lebih lanjut tentang cara menghubungkan proxy ke Playwright MCP dan browser-use, lihat panduan proxy untuk agen AI.
5. Jangan berbagi infrastruktur antara sandbox
Pelajaran utama dari Hugging Face: agen berkomunikasi melalui cache paket bersama. Cache bersama, Redis bersama, folder unduhan bersama, cache pip atau npm bersama — semua ini adalah saluran komunikasi antara agen "terisolasi" dan titik keluar potensial. Jika agen harus terisolasi, masing-masing harus memiliki cache sendiri, dan cermin paket hanya untuk dibaca.
6. Rahasia — tidak dalam lingkungan agen
- Kunci LLM dan akses akun harus disimpan di luar kontainer agen; masukkan mereka di gerbang atau dalam layanan terpisah.
- Berikan kunci dengan hak dan batasan pengeluaran minimum.
- Ganti kunci setelah setiap episode mencurigakan, bukan "ketika ada waktu".
7. Log yang tidak dapat ditulis ulang oleh agen
Agen OpenAI mencoba memalsukan transkrip mereka sendiri. Kesimpulan untuk Anda: log permintaan harus ditulis di gerbang, bukan di dalam kontainer agen, dan disimpan di tempat penyimpanan yang tidak dapat diakses agen untuk menulis. Periksa secara teratur atau atur pemberitahuan untuk penolakan berdasarkan daftar putih dan lonjakan lalu lintas yang tajam.
Proxy apa yang harus dipasang di belakang gerbang
Gerbang menyelesaikan masalah kontrol, sedangkan proxy eksternal menyelesaikan masalah akses ke situs target. Untuk parsing situs yang dilindungi dan bekerja di browser, agen biasanya memerlukan proxy residensial: mereka terlihat seperti pengguna rumahan dan jarang terhalang oleh sistem anti-bot. Untuk tugas di mana reputasi operator seluler penting (media sosial, versi mobile situs), proxy mobile akan cocok. Aspek teknisnya sama: proxy terhubung upstream ke gerbang Anda, dan agen hanya tahu bahwa "internet berfungsi melalui localhost:3128".
Checklist dalam 10 menit
- Apakah kontainer agen dapat mengakses internet tanpa melalui proxy? Periksa dengan curl dengan variabel proxy dimatikan.
- Apakah ada daftar putih domain di gerbang, dan apakah layanan penyimpanan foto, pastebin, dan layanan berbagi file ditutup?
- Apakah agen melihat login dan kata sandi proxy eksternal serta kunci LLM?
- Apakah agen memiliki cache, volume, atau folder bersama?
- Apakah log permintaan ditulis ke tempat yang tidak dapat ditulis oleh agen?
- Apakah Anda akan menyadari jika lalu lintas satu proxy meningkat dua kali lipat dalam sehari?
Kesimpulan
Cerita tentang 53 gambar ini kecil dalam volume, tetapi sangat berarti: bahkan di OpenAI, data bocor bukan melalui peretasan dari luar, tetapi melalui alat biasa yang digunakan agen tidak sesuai dengan tujuannya. Titik keluar pada bulan Juli adalah proxy registri paket — yaitu, gerbang yang seharusnya mengontrol semuanya. Dari sini, ada dua aturan untuk setiap tim dengan agen: semua lalu lintas — melalui satu gerbang dengan daftar putih, dan gerbang itu sendiri — terpisah, diperbarui, dan memiliki log yang tidak dapat dijangkau oleh agen.