Chief Technology Officer dan co-founder Charge Robotics, Max Justicz, menggunakan model dari OpenAI untuk menemukan kerentanan serius; jika dimanfaatkan, peretas dapat mengendalikan server yang menjalankan Ubuntu. Ubuntu adalah sistem operasi open source berbasis Linux yang banyak digunakan.
Justicz memiliki minat semacam hobi terhadap keamanan siber dan sebelumnya pernah menemukan kerentanan di repositori kode yang sama. Ia memberi tahu TechCrunch bahwa kali ini ia menemukan masalah ini melalui GPT 5.6 Sol yang dirilis OpenAI pada Juli tahun ini, dengan memanfaatkan proyek bernama Daybreak Blue dari perusahaan tersebut. Proyek ini memungkinkan para pembela keamanan siber menggunakan model mutakhir yang kuat.
"Saya hanya mengarahkan ChatGPT langsung ke kode yang sama, lalu berkata, 'Saya sebelumnya menemukan bug yang sudah diperbaiki beberapa tahun lalu, tolong bantu saya temukan bug yang sama seriusnya atau lebih serius,' dan dua jam kemudian ia menemukan ini," kata Justicz. "Vulnerabilitas ini sangat kompleks, sulit ditemukan secara manual, tetapi memang ada!"
Dia telah melaporkan masalah ini ke Debian Project yang bertanggung jawab atas pemeliharaan perangkat lunak terkait, yang kemudian merilis patch untuk memperbaiki kerentanan tersebut. Saat ini tidak ada bukti yang diketahui bahwa kerentanan ini telah dimanfaatkan. Namun, kemudahannya dalam menemukan masalah ini menunjukkan bahwa bahkan peretas pemula juga dapat menggunakan model AI untuk menemukan dan memanfaatkan kerentanan potensial, dan risiko semacam ini mungkin hanyalah puncak gunung es.
Saya hanya bisa membayangkan apa yang akan dicapai orang-orang jika mereka memiliki lebih banyak waktu dan akses ke model yang lebih sedikit dibatasi. Kita harus mengantisipasi bahwa dalam beberapa bulan ke depan, akan ditemukan dan dimanfaatkan beberapa kerentanan yang benar-benar gila,” tulis Justicz dalam posting media sosialnya yang membahas temuan ini. “Ini mungkin jelas bagi sebagian besar di sini, tetapi saat ini, mengambil kode atau file biner yang belum diaudit dan langsung memberikannya kepada model AI yang kuat memang memiliki keuntungan besar.”
OpenAI jelas telah memperhatikan hal ini. Perusahaan hari ini mengumumkan akan menyediakan model baru yang berfokus pada keamanan siber, ChatGPT Cyber, kepada pengguna tingkat tertinggi dalam program keamanan siber Daybreak Red. Daybreak Red memungkinkan peneliti keamanan siber ofensif menggunakan alat-alat penemuan dan pengembangan kerentanan.
Kemarin, OpenAI menyatakan bahwa model yang sama telah digunakan untuk memindai kernel Linux dan menyiapkan patch untuk kerentanan, menemukan 948 masalah potensial. OpenAI juga menemukan 81 kerentanan "baru" di browser web Firefox.
Laboratorium mutakhir ini menyatakan dalam sebuah pernyataan: "Tujuan kami adalah memperluas Daybreak secara signifikan, membawa penelitian keamanan canggih kepada organisasi dari berbagai ukuran, peneliti independen, serta pemelihara open source."
OpenAI terus menekankan bahwa hanya ada jendela waktu yang sangat sempit bagi para pelindung infrastruktur digital untuk bertindak, karena model AI hanya akan menjadi semakin ahli dalam serangan siber dan semakin mudah diakses. Bagi para pertahanan siber, rasanya seperti laboratorium terdepan melepaskan sejumlah besar pekerjaan baru yang telah melampaui kapasitas sumber daya mereka. Justicz mengatakan bahwa dirinya sendiri menghabiskan sekitar $5.000 untuk berlangganan dan token dalam mencari beberapa kerentanan.
Selain akses model Daybreak, OpenAI juga mengumumkan rencana senilai 1 miliar dolar AS untuk mendukung profesional keamanan siber yang terlibat dalam proyek ini dan bekerja pada infrastruktur penting seperti jaringan listrik atau sistem pasokan air.
Proyek Daybreak juga menghadapi beberapa kritik. Justicz menunjukkan bahwa laboratorium mutakhir ini baru-baru ini tampaknya "melemahkan" Daybreak Blue, sehingga kurang berguna dalam menemukan kerentanan. Di satu sisi, membatasi akses bagi pelaku jahat potensial mungkin merupakan hal yang baik—Justicz mengatakan bahwa ketika ia bergabung dengan proyek ini, ia hanya mengunggah foto SIM-nya. Di sisi lain, para profesional keamanan siber menyatakan bahwa jika mereka tidak dapat menggunakan teknologi mutakhir, sementara pelaku jahat dapat menerapkan model bobot open-source yang telah menghilangkan perlindungan keamanan, maka mereka akan terhambat.
Meskipun demikian, OpenAI menyatakan bahwa hanya ada "ribuan" profesional keamanan siber yang berpartisipasi dalam proyek Daybreak, sementara jumlah peretas potensial jauh lebih besar.
Belum jelas apakah Frontier Labs telah mengalokasikan sumber daya yang cukup untuk masalah ini. Peneliti tim teknis OpenAI, Eric Wallace, mengatakan: “Saat ini, kami menggunakan sebagian besar daya komputasi Frontier untuk menemukan dan memperbaiki kerentanan di repositori kode sumber terbuka, sepenuhnya bersifat amal.”
Namun, biaya pencarian kerentanan Linux sebesar $1,2 juta jelas lebih rendah daripada pengeluaran token sekitar $6 juta yang diinvestasikan perusahaan untuk mencari solusi potensial terhadap masalah dinamika fluida terkenal.
Jika infrastruktur digital yang menjadi andalan dunia memang hanya memiliki jendela perbaikan yang sangat sempit, maka mungkin diperlukan rasa mendesak yang lebih kuat.