Serangan 'Pikiran yang Dicuri': Trik Replay Membobol Enkripsi AI dan Membongkar Jejak Kimi K3

Bagaimana Serangan Replay Bekerja?

Saat pengguna mengirimkan pertanyaan ke model andalan seperti Claude Opus 4.8 atau GPT-5.6 Sol melalui API, model tersebut melakukan penalaran langkah demi langkah di internal—yang disebut chain-of-thought—dan mengembalikan penalaran itu ke client sebagai blok teks terenkripsi. Pada panggilan berikutnya, client mengirimkan blok ini kembali ke API untuk melanjutkan penalaran tanpa harus menyimpan status sementara di server .

Yang mengejutkan, para peneliti menemukan bahwa blok enkripsi ini tidak terikat pada sesi, pengguna, atau model tertentu. Mereka semua menggunakan satu kunci enkripsi global yang sama . Artinya, blok dari satu percakapan bisa digunakan kembali di konteks lain. Inti serangannya: masukkan blok dari model andalan yang sangat dijaga ke dalam model "adik" yang lebih lemah dan memiliki pengaman lebih sedikit, lalu model yang lebih lemah ini akan mendekripsi dan mengeluarkan isi blok tersebut secara verbatim .

Hanya diperlukan dua panggilan API untuk menjalankan serangan ini, dan para peneliti membuktikan bahwa metode ini bisa dilakukan dalam skala besar .

Bukti Awal Distilasi: Pola Probabilitas Abnormal Kimi K3

Serangan ini tidak hanya mengekspos reasoning model andalan, tetapi juga memberikan bukti baru dalam perdebatan apakah perusahaan AI Tiongkok, Moonshot AI, melatih model Kimi K3 dengan cara menyuling (distilling) pola pikir model AS.

Setelah mengekstrak reasoning traces dari Claude Opus 4.8 dan GPT-5.6 Sol, para peneliti membandingkannya dengan model open-weight lain, termasuk Kimi K3. Mereka menemukan pola yang disebut "fenomena probabilitas abnormal" pada output Kimi K3 yang sangat mirip dengan pola dari Claude dan GPT .

Peneliti independen lain menyebut temuan ini "memberikan bukti—meski bukan bukti mutlak—bahwa model Tiongkok tertentu mungkin dilatih dengan menyuling informasi penalaran dari model AS" . Temuan lain yang mencolok: saat diminta mengidentifikasi diri, Kimi K3 awalnya mengaku sebagai "Claude" milik Anthropic, yang semakin memicu kecurigaan .

Kimi K3 sendiri adalah model open-weight dengan 2,8 triliun parameter yang dirilis Moonshot AI pada 16 Juli 2026. Model ini unggul dalam beberapa tolok ukur dibandingkan Claude Opus 4.8, namun bukan pemimpin mutlak. Pada Artificial Analysis Intelligence Index, K3 skor 57, di bawah Claude Fable 5 (60) dan GPT-5.6 Sol (59). Moonshot sendiri cukup jujur bahwa K3 secara keseluruhan masih kalah dari GPT-5.6 Sol dan Claude Fable 5 .

Perdebatan Garis Waktu

Tuduhan distilasi sebenarnya bukan hal baru. Anthropic dan OpenAI sebelumnya telah menuduh perusahaan Tiongkok secara sistematis menyuling model mereka. Bahkan, tinjauan terhadap makalah akademis dan paten Tiongkok mengungkap peneliti militer Tiongkok menggunakan output model OpenAI dan Anthropic untuk melatih sistem AI dalam negeri guna keperluan pertahanan .

Peluncuran Kimi K3 langsung menuai kontroversi. Dalam hitungan jam setelah rilis pada 16 Juli, Anthropic menuduh Moonshot membangun K3 dengan menyuling Claude, dan tuduhan ini sampai ke Gedung Putih serta memicu potensi sanksi .

Namun, kritikus tuduhan distilasi menunjukkan masalah waktu. Claude Opus 4.8 baru dirilis menjelang peluncuran K3. Peneliti independen mengatakan garis waktu membuat penyalinan langsung "tidak masuk akal" karena waktu yang tersedia untuk melatih model sebesar 2,8 triliun parameter dengan distilasi dari model yang baru dirilis sangatlah pendek . Moonshot sendiri bersikeras bahwa K3 dikembangkan dari penelitian independen .

Kerentanan Keamanan: Data Pribadi Bocor di Depan Mata

Celah arsitektur yang sama juga mengakibatkan kerentanan keamanan praktis. Karena model andalan kadang menyisipkan kredensial dan data pribadi ke dalam proses penalaran mereka, blok enkripsi reasoning yang dibagikan pengembang secara publik—misalnya, di log sesi agen—berisi informasi sensitif yang bisa dibaca siapa pun yang mengetahui trik ini.

Dengan memindai sekitar 7.000 log sesi agen publik yang dibagikan sebelum Agustus 2026, peneliti menemukan 62 API key aktif, 33 password, dan data sensitif pengguna lainnya—total 704 artefak privasi—yang tersembunyi di dalam blok reasoning terenkripsi . Setiap pengembang yang mempublikasikan log agen mentah mungkin tanpa sadar mengekspos API key, password, dan informasi identitas pribadi di dalam blok yang mereka yakini tidak dapat dibaca siapa pun . Ini termasuk log yang disimpan di repositori GitHub publik .

Para peneliti mengidentifikasi empat jalur penyalahgunaan potensial: rekonstruksi reasoning tersembunyi, pemulihan rahasia yang tertanam dalam jejak agen, penyuntikan instruksi melalui saluran yang tidak bisa diperiksa, dan replay lintas sesi dari blok yang belum kedaluwarsa .

Respons Penyedia: Perbaikan di Sisi Server Setelah Laporan

Ketiga perusahaan menerapkan mitigasi di sisi server setelah tim peneliti mengikuti prosedur pengungkapan yang bertanggung jawab .

Para peneliti melaporkan temuan mereka ke OpenAI, Anthropic, Google, Microsoft, dan Hugging Face. Setelah penyedia menerapkan perubahan, pemeriksaan reproduksibilitas memastikan teknik ekstraksi utama tidak lagi berhasil pada versi API terbaru . Dokumentasi kini menyarankan untuk menghapus blok reasoning sebelum membagikan log atau mengganti model di tengah percakapan .

Menariknya, peneliti kriptografi Matthew Green sebelumnya telah melaporkan kerentanan cross-session replay yang sama ke OpenAI dan Anthropic pada Mei 2026 melalui program bug bounty, tetapi mendapat tanggapan yang meremehkan sebelum makalah akademis tersebut diterbitkan .

Perbaikan telah aktif sejak Agustus 2026, namun log sesi historis dengan blok reasoning yang sudah didekripsi dan telah diambil dari web publik masih dapat diakses .

Mengapa Ini Penting?

Serangan "pikiran yang dicuri" ini mengungkap ketegangan fundamental dalam desain API AI modern. Penyedia ingin menempatkan status reasoning kepada client untuk skalabilitas dan latensi, tetapi pengikatan kriptografis yang diperlukan untuk menjaga status tersebut tetap aman antar sesi, pengguna, dan model memerlukan desain yang cermat. Pendekatan menggunakan satu kunci enkripsi global oleh Anthropic, OpenAI, dan Google adalah shortcut yang menciptakan kerentanan keamanan dan privasi yang memengaruhi setiap pengguna dan pengembang yang berinteraksi dengan API ini.

Serangan ini juga berada di tengah meningkatnya konflik AS-Tiongkok mengenai distilasi AI. Meskipun bukti terkait Kimi K3 bersifat tidak langsung, bukti ini memberikan bukti teknis terkuat hingga saat ini bahwa distilasi mungkin terjadi dalam skala besar, dan memberi pembuat kebijakan serta peneliti alat baru untuk menyelidiki asal-usul model AI.