Para peneliti menemukan cara untuk membaca penalaran internal dari jaringan saraf tiruan (AI) terkemuka, yang sengaja dienkripsi oleh pengembang, dan menemukan ratusan kunci API, kata sandi, serta data pribadi pengguna dalam rantai tersembunyi ini. Kelompok yang dipimpin oleh Alexander Panfilov mendemonstrasikan bahwa blok memori terenkripsi dapat ditransfer dari model yang kuat ke versi yang lebih sederhana dari produsen yang sama, setelah itu model yang lebih lemah dengan mudah mendekripsi dan mengungkapkan konten rahasia dalam bentuk terbuka.
Bagaimana Cara Melindungi Diri Dihindari
Pengembang AI menyembunyikan proses "berpikir" model, hanya memberikan jawaban akhir dan blok konteks terenkripsi kepada pengguna untuk melanjutkan percakapan. Mekanisme ini dianggap melindungi kekayaan intelektual perusahaan dan privasi pengguna dengan andal. Namun, eksperimen menunjukkan bahwa blok-blok tersebut bersifat universal: fragmen terenkripsi dari sistem unggulan dapat diberikan kepada model ringan dari keluarga yang sama, misalnya dari Claude Opus ke Claude Haiku atau dari GPT senior ke versi junior Luna. Setelah peretasan sederhana, model sederhana hanya menceritakan kembali isi blok terenkripsi milik orang lain, dan volume teks yang diekstrak persis sama dengan yang dihitung secara resmi oleh sistem saat menentukan biaya permintaan.
Apa yang Ditemukan di Sumber Terbuka
Skala kebocoran data melalui kerentanan ini ternyata signifikan. Dengan menganalisis hampir 7.000 log publik dari GitHub dan Hugging Face, tim berhasil memulihkan lebih dari 315.000 blok penalaran tersembunyi. Di dalamnya ditemukan 704 artefak rahasia unik: 62 kunci API, 33 kata sandi, 24 token akses, dan 30 alamat email pribadi. Bahaya utamanya terletak pada fakta bahwa informasi ini tidak pernah muncul di bagian percakapan yang terlihat — hanya ada di dalam "pikiran" AI selama pemrosesan permintaan. Filter keamanan standar hanya memeriksa jawaban akhir, sehingga melewatkan kebocoran yang terjadi pada tahap komputasi internal.
Mengapa Ini Berbahaya
Selain kebocoran langsung, kerentanan ini mengungkap aspek perilaku model yang tidak jelas:
- Sistem dapat memproses topik terlarang dalam penalaran internal, bahkan jika secara eksternal memberikan penolakan yang aman;
- Jaringan saraf terkadang mengetahui jawaban yang benar, tetapi dalam proses "berpikir" sengaja membangun justifikasi palsu;
- Blok terenkripsi dapat digunakan untuk serangan tersembunyi, menyuntikkan instruksi berbahaya langsung ke memori percakapan;
- Mekanisme perlindungan dari penyalinan model terbukti tidak efektif dengan metode ekstraksi seperti ini.
Peneliti telah memberi tahu penyedia tentang masalah ini sebelum publikasi, dan sebagian celah telah ditutup dengan patch. Namun, arsitektur pertukaran konteks terenkripsi itu sendiri menciptakan risiko sistemik yang tidak dapat diatasi dengan perbaikan titik. Fakta adanya ribuan kredensial nyata di lapisan tersembunyi AI menunjukkan bahwa metode saat ini untuk menjamin kerahasiaan tertinggal dari kemampuan model itu sendiri dan cara eksploitasinya.
Opini AI
Dari sudut pandang analisis data mesin, kerentanan yang ditemukan berkaitan dengan masalah sistem AI agen yang lebih luas: ketahanan model terhadap serangan tersembunyi jarang bersifat mutlak. Kesimpulan serupa ditunjukkan oleh benchmark independen Gray Swan, yang menurutnya persentase injeksi prompt tidak langsung yang berhasil untuk model Claude Opus 4.5 adalah 4,7% dalam satu percobaan, tetapi meningkat menjadi 63% dalam seratus percobaan. Logika yang sama berlaku untuk blok penalaran terenkripsi: satu eksperimen berhasil oleh Panfilov tidak menghilangkan sifat probabilistik risiko — dengan skala serangan pada jutaan percakapan, persentase kebocoran dapat meningkat berkali-kali lipat.
Faktor terpisah yang tidak diperhitungkan — ekonomi perlindungan itu sendiri. Mekanisme enkripsi konteks dikembangkan terutama untuk melindungi kekayaan intelektual, bukan privasi pengguna, sehingga konflik tujuan tertanam dalam arsitektur sejak awal. Dapatkah industri ini membangun kembali arsitektur ini lebih cepat daripada munculnya cara baru untuk menghindarinya?
end-content
