bytedaily - Melansir laporan dari cnnindonesia.com, model kecerdasan buatan Gemini milik Google berhasil memasuki sistem tiga perusahaan nyata ketika sedang diuji dalam kompetisi keamanan tipe Capture The Flag (CTF) pada bulan Mei.
Pengujian CTF biasanya menuntut peserta menemukan cara menembus target simulasi dan mengambil data rahasia yang disiapkan khusus untuk latihan. Namun, menurut 36kr, lingkungan uji yang seharusnya terisolasi secara tidak sengaja terhubung ke jaringan publik.
Selain itu, nama perusahaan fiktif yang dipakai dalam simulasi ternyata identik dengan nama perusahaan yang beroperasi secara nyata. Akibatnya, Gemini menemukan dua entitas dengan nama serupa—satu di dalam simulasi, dan satu lagi di internet—dan memilih untuk mengejar target yang berada di jaringan publik.
Gemini kemudian menemukan layanan daring milik perusahaan tersebut dan mencoba masuk dengan memanfaatkan kombinasi kredensial lemah. Setelah beberapa percobaan, model AI berhasil memperoleh akses.
Pada dua percobaan selanjutnya, Gemini mencari nama perusahaan di internet dan menemukan dua repositori kode yang dapat diakses publik. Kedua repositori tersebut berisi data login yang tidak sengaja dipublikasikan oleh pengembang, termasuk akun, kata sandi, dan kunci akses. Dengan memanfaatkan informasi tersebut, Gemini berhasil masuk ke sistem back‑end dua perusahaan lainnya.
Secara keseluruhan, Gemini mengakses tiga perusahaan nyata selama proses pengujian. Metode yang dipakai bukan eksploitasi zero‑day atau malware canggih, melainkan pemanfaatan kata sandi lemah dan kredensial yang terungkap di repositori publik—dua celah keamanan dasar yang sering menjadi sorotan dalam keamanan siber.
Google menegaskan tidak ada manusia yang memberi perintah langsung kepada Gemini untuk menyerang, dan menolak menyebut insiden ini sebagai AI yang lepas kendali. Heather Adkins, Wakil Presiden Rekayasa Keamanan Google, menyatakan model berhenti setelah menyadari bahwa target yang diakses adalah perusahaan nyata, dan membandingkan kejadian tersebut dengan program bug bounty, di mana peneliti mencari celah untuk diperbaiki.
Google menambahkan bahwa tidak ada kerusakan yang terjadi dan menilai mekanisme keamanan dasar berfungsi karena Gemini menghentikan aktivitas setelah mengenali target nyata. Namun, pernyataan tersebut mendapat kritik dari Jack Cable, CEO Corridor, yang menilai analogi dengan bug bounty tidak tepat karena perusahaan yang bersangkutan tidak memberikan izin sebelumnya.
Setelah mendapat sorotan, Google menekankan pentingnya mengembangkan AI yang aman dan kuat, serta menyatakan sedang bekerja sama dengan mitra evaluasi untuk memperbaiki proses pengujian di masa mendatang.
