Pada 25 Juli 2026, tiga peneliti keamanan siber dari startup India, Hacktron AI, berhasil membobol sistem internal OpenAI. Yang membuat insiden ini viral bukan hanya targetnya yang merupakan perusahaan AI terbesar di dunia, tapi juga fakta bahwa mereka menggunakan model AI pesaing — Claude Opus 5 dari Anthropic — sebagai senjata utamanya.

Berikut adalah penjelasan lengkap metode serangan dan alasan teknis mengapa hal ini bisa terjadi.

Kronologi Singkat

Tanggal 23 Juli 2026, tim Hacktron AI yang terdiri dari tiga peneliti keamanan keturunan India mulai menargetkan forum komunitas OpenAI di community.openai.com. Forum ini menggunakan platform open-source Discourse dan memiliki fitur “Sign in with OpenAI” yang menghubungkan akun forum dengan akun ChatGPT dan Codex pengguna.

Dalam waktu kurang dari 72 jam, mereka berhasil mengambil alih akun ChatGPT dan Codex milik karyawan OpenAI, mengakses layanan terkait seperti Outlook, Slack, dan GitHub, bahkan berhasil mengirimkan pull request ke repositori kode sumber internal OpenAI sebagai bukti keberhasilan serangan.

Metode Serangan: Rantai Dua Kerentanan (Vulnerability Chain)

Serangan ini tidak mengandalkan satu celah keamanan saja, melainkan menggabungkan dua kerentanan berbeda dalam satu rantai eksploitasi yang mematikan.

Tahap 1: Eksploitasi Kerentanan di libheif (CVE-2026-32882)

Titik masuk pertama ditemukan di cara Discourse memproses gambar yang diunggah pengguna. Ketika seseorang mengunggah file gambar dalam format HEIF/HEIC (format gambar yang umum digunakan di iPhone), Discourse akan memproses gambar tersebut menggunakan pustaka libheif melalui pipeline ImageMagick.

Tim Hacktron menemukan bahwa versi libheif yang digunakan dalam Docker image Discourse adalah versi 1.19.7 (berjalan di Debian 12), sementara versi terbaru saat itu adalah 1.19.8. Versi lama ini mengandung heap buffer overflow — sebuah kerentanan memori yang memungkinkan penyerang menulis data di luar batas buffer yang dialokasikan.

Dengan membuat file HEIF yang sudah dimanipulasi (crafted), penyerang bisa memicu Remote Code Execution (RCE) — artinya mereka bisa menjalankan perintah apapun di server forum dari jarak jauh.

Peran Claude Opus 5 dalam Tahap Ini

Di sinilah Claude Opus 5 berperan krusial. Tim Hacktron awalnya menggunakan versi khusus Claude Opus 4.8 yang dirancang untuk riset keamanan siber, namun model tersebut belum mampu membuat exploit yang berfungsi. Situasi berubah ketika Anthropic merilis Claude Opus 5 pada malam hari.

Dengan Claude Opus 5, tim meminta AI untuk:

  • Menganalisis kerentanan heap buffer overflow di libheif
  • Memporting kode eksploitasi ke lingkungan x86-64 dengan jemalloc memory allocator yang digunakan server Discourse
  • Membuat script eksploitasi yang berfungsi penuh

Claude Opus 5 berhasil membuat exploit yang berfungsi dalam waktu sekitar 3 jam. Pada pukul 06:00 tanggal 25 Juli, mereka telah mengkonfirmasi RCE melalui unggahan gambar di server forum OpenAI.

Tahap 2: Penyalahgunaan Single Sign-On (SSO)

Setelah menguasai server forum, tim menemukan celah kedua yang lebih berbahaya: konfigurasi SSO yang buruk pada OpenAI.

Forum community.openai.com memiliki tombol “Sign in with OpenAI” yang menggunakan mekanisme token exchange melalui auth.openai.com. Karena penyerang sudah memiliki kontrol RCE atas server forum, mereka bisa:

  • Menyadap mekanisme pertukaran token saat pengguna atau karyawan OpenAI melakukan login
  • Mencuri authentication token yang valid
  • Menggunakan token tersebut untuk mengakses akun ChatGPT dan Codex korban

Yang membuat ini semakin parah: banyak karyawan OpenAI yang menghubungkan akun Codex mereka dengan GitHub internal perusahaan. Dengan mengambil alih akun Codex, penyerang otomatis mendapat akses ke repositori kode sumber privat OpenAI.

Bukti Keberhasilan: Pull Request ke Kode Internal

Untuk membuktikan bahwa mereka benar-benar bisa mengakses kode sumber internal, tim Hacktron menggunakan akun Codex salah satu karyawan untuk mengirimkan sebuah pull request yang berisi perubahan dokumentasi yang tidak berbahaya ke repositori internal OpenAI di GitHub.

Pull request ini menjadi bukti tak terbantahkan bahwa serangan tersebut berhasil mencapai level paling dalam dari infrastruktur OpenAI.

Kenapa Bisa Terjadi: Analisis Akar Masalah

1. Pustaka Software yang Tidak Di-update

OpenAI menggunakan Docker image Discourse yang masih menjalankan libheif versi 1.19.7, padahal versi 1.19.8 sudah tersedia dengan patch keamanan. Ini adalah masalah klasik dalam keamanan siber — software pihak ketiga yang tidak rutin di-update menjadi celah masuk termudah bagi penyerang.

2. Konfigurasi SSO yang Tidak Aman

Implementasi SSO OpenAI tidak memiliki perlindungan yang memadai terhadap token interception. Seharusnya, ada mekanisme seperti PKCE (Proof Key for Code Exchange) atau binding token ke sesi tertentu yang bisa mencegah pencurian token melalui server yang sudah dikompromikan.

3. Keterlaluan Akses Berantai (Overly Permissive Chain)

Fakta bahwa akun forum bisa terhubung ke akun ChatGPT, yang bisa terhubung ke Codex, yang bisa terhubung ke GitHub internal — menciptakan rantai akses yang terlalu panjang tanpa batasan yang memadai. Satu titik kompromi di ujung rantai (forum) bisa mencapai aset paling berharga di ujung lainnya (kode sumber).

4. Kekuatan AI sebagai Senjata Hacking

Yang paling mengkhawatirkan adalah peran Claude Opus 5. Model AI ini mampu membuat exploit yang berfungsi dalam hitungan jam — sesuatu yang biasanya membutuhkan waktu berminggu-minggu bagi peneliti keamanan berpengalaman. Ini menurunkan secara drastis barrier to entry untuk serangan siber tingkat tinggi.

Respons OpenAI

OpenAI menerima laporan melalui platform bug bounty Bugcrowd pada 25 Juli 2026 dan berhasil menambal kerentanan dalam waktu 14 jam. Perusahaan membayar hadiah bug bounty sebesar USD 6.500 (sekitar Rp 105 juta) kepada tim Hacktron AI.

Discourse juga secara independen mendokumentasikan kerentanan pemrosesan gambar yang mendasarinya dan merilis patch. Debian kemudian merilis advisory DSA-6417-1 yang memperingatkan bahwa CVE-2026-32882 dan masalah terkait libheif lainnya dapat menyebabkan denial of service, kebocoran memori, atau potensi eksekusi kode jarak jauh.

Implikasi untuk Keamanan AI Global

Insiden ini mengajarkan beberapa pelajaran penting:

  • AI adalah pedang bermata dua — model yang sama yang dirancang untuk membantu juga bisa dimanfaatkan untuk menyerang
  • Keamanan supply chain software harus menjadi prioritas, termasuk rutin meng-update dependensi pihak ketiga
  • Implementasi SSO harus benar-benar aman dengan standar terbaru seperti PKCE dan token binding
  • Segmentasi akses antar layanan harus diperketat agar satu titik kompromi tidak menyebar ke seluruh sistem

Tim Hacktron menghabiskan total kurang dari USD 3.000 (sekitar Rp 48 juta) untuk token AI Claude selama operasi ini — biaya yang sangat kecil dibanding potensi kerusakan yang bisa ditimbulkan jika serangan serupa dilakukan oleh pihak yang tidak bertanggung jawab.