OpenAI Bermitra dengan Hacktron untuk Menguji Koneksi Layanan Pihak Ketiga

Pada 6 November 2026, OpenAI mengumumkan kemitraan dengan Hacktron untuk menemukan kerentanan dalam sistemnya, dengan fokus pada koneksi ke layanan pihak ketiga serta memperluas akses perusahaan keamanan tersebut ke model-model terdepan melalui Daybreak Red.

Para insinyur OpenAI dan peneliti keamanan Hacktron akan bersama-sama memilih area berprioritas tinggi untuk diuji. Pekerjaan ini akan mengkaji interaksi antarsistem ketika agen AI menghubungkan layanan dengan cara-cara baru, dan hasilnya akan digunakan untuk memperkuat pertahanan OpenAI. Dengan demikian, kemitraan ini memiliki sasaran khusus: kelemahan yang muncul ketika aplikasi, sistem identitas, dan infrastruktur saling terhubung.

Kemitraan melalui Program Bounty Bug Berkembang

OpenAI mengenal Hacktron melalui program Security Bug Bounty miliknya dan menyatakan terkesan oleh dampak kerentanan yang ditemukan dan diungkapkan oleh para peneliti perusahaan tersebut. Hacktron mengembangkan agen AI untuk peninjauan kode, pengujian penetrasi, dan simulasi serangan, sementara penelitiannya telah menemukan kerentanan dalam interaksi antara aplikasi, infrastruktur cloud, dan sistem identitas. Kemampuan tersebut selaras langsung dengan fokus pengujian yang baru.

Dalam laporannya pada 13 September 2026, Hacktron memberikan contoh konkret. Para penelitinya mengatakan bahwa pada 25 Juli 2026, mereka merangkai dua kerentanan kritis untuk menyusupi akun ChatGPT milik beberapa karyawan OpenAI, sehingga berpotensi memperoleh akses ke repositori internal dan layanan terhubung lainnya. Rangkaian tersebut menggabungkan eksekusi kode jarak jauh pada jalur pemrosesan gambar di forum komunitas yang dihosting Discourse dengan masalah sistem masuk tunggal OpenAI. Hal ini memungkinkan penyusupan forum merambat ke ChatGPT dan Codex, lalu ke integrasi GitHub yang terhubung.

Untuk membuktikan bahwa mereka memiliki akses tanpa membaca kode internal yang sensitif, Hacktron menggunakan akun Codex milik seorang karyawan untuk membuat permintaan penggabungan kode yang tidak berbahaya di repositori monolitik internal OpenAI, lalu menghentikan pengujian. Hacktron melaporkan masalah tersebut melalui program Bugcrowd milik OpenAI dan kepada Discourse. Linimasa Hacktron menyebutkan bahwa OpenAI mengonfirmasi perbaikan sekitar 14 jam setelah laporan awal, sedangkan Discourse telah menyiapkan perbaikan dua hari setelah menerima laporannya.

OpenAI membayar imbalan sebesar $6,500 kepada Hacktron pada 1 September 2026, sembari menjelaskan bahwa penghargaan tersebut diberikan atas temuan di sisi OpenAI, bukan atas pengujian terhadap forum yang dihosting Discourse dan secara tegas berada di luar cakupan, menurut linimasa yang dipublikasikan ulang oleh Hacktron.

Akses dan Pengendalian Daybreak Red

Dalam pengumuman Daybreak pada 10 Agustus 2026, OpenAI menjelaskan bahwa Red memberikan akses ke model keamanan siber yang dilatih khusus untuk penelitian kerentanan, validasi eksploit, dan pengujian keamanan yang berizin, serta merekomendasikan Blue sebagai titik awal bagi sebagian besar pihak yang bertugas mempertahankan sistem. Blue menyediakan model serbaguna terdepan dengan pengamanan yang disesuaikan untuk pekerjaan defensif yang berizin. Tim yang pekerjaannya telah mendapat izin dan mencakup penelitian kerentanan tingkat lanjut, pengembangan eksploit, atau simulasi serangan dapat mengajukan permohonan akses Red.

Akses ke kedua tingkat tersebut dibatasi bagi individu dan organisasi yang disetujui dan melakukan pekerjaan berizin. Pengendaliannya mencakup verifikasi identitas, keamanan akun, pemantauan, pembatasan penggunaan yang disetujui, dan pernyataan kepatuhan hukum. Praktik terbaik yang didokumentasikan OpenAI juga mengharuskan alur kerja keamanan dipisahkan dari sistem produksi yang sensitif dan internet terbuka, tindakan agen ditinjau di luar sandbox Codex sebelum dijalankan, pengawasan manusia ditambahkan untuk alur kerja berisiko lebih tinggi, serta profil izin dengan cakupan terbatas digunakan untuk menegakkan batas-batas pekerjaan yang diizinkan.

Laporan Hacktron sebelumnya juga menyebutkan bahwa pekerjaan tersebut tidak sepenuhnya otonom dan bahwa bimbingan manusia yang terampil tetap penting. Karena itu, manfaat defensif kemitraan ini bergantung pada keseimbangan: akses yang lebih luas ke model berkemampuan siber untuk menguji layanan yang saling terhubung secara lebih mendalam, disertai cakupan yang dapat ditegakkan, pemantauan, dan pengawasan manusia saat agen digunakan.