Gangguan OpenAI Mengunci Peneliti Siber Tepercaya dari Daybreak Blue

• triase kerentanan;
• peninjauan kode secara aman;
• analisis malware;
• rekayasa deteksi;
• respons insiden; dan
• validasi patch atau perbaikan keamanan.

Program ini ditujukan untuk pekerjaan pada sistem, aplikasi, akun, jaringan, atau data yang dimiliki, dioperasikan, atau secara eksplisit diizinkan untuk diuji maupun dianalisis oleh peneliti. Pengamanan yang disesuaikan bukan berarti kebijakan OpenAI atau seluruh kontrol akses dihapus. Persetujuan tetap terbatas pada orang atau layanan yang disetujui, organisasi atau ruang kerja, proyek, model, serta permukaan produk tertentu.

Daybreak Red berada satu tingkat di atasnya

Daybreak Red adalah tingkat akses yang lebih tinggi dan lebih khusus. Pengguna yang memperoleh persetujuan terpisah dapat mengakses GPT-5.6-Cyber melalui alias gpt-daybreak-red untuk pekerjaan resmi yang lebih maju, seperti riset kerentanan, validasi eksploit, dan pengujian keamanan.

Persetujuan Daybreak Blue—bahkan penyelesaian proses verifikasi—tidak otomatis memberikan akses ke model spesialis pada tingkat Red. Daybreak Red membutuhkan persetujuan dan penyediaan akses secara terpisah.

Struktur ini memiliki kemiripan dengan Cyber Verification Program milik Anthropic. Anthropic mengatakan program tersebut memungkinkan profesional keamanan yang mengerjakan tugas siber sah, termasuk riset kerentanan, pengujian penetrasi, dan red-teaming, menggunakan model dengan sejumlah pengamanan yang dirancang untuk mencegah penyalahgunaan siber tidak berlaku dalam konteks tersebut.

Gagasan dasarnya sama: verifikasi orang dan organisasi terlebih dahulu, kemudian sesuaikan pembatasan untuk pekerjaan defensif yang sah—bukan membuka kemampuan tersebut bagi semua akun.

Masalah yang dialami peneliti saat mencoba masuk kembali

Laporan dari pengguna yang terdampak menggambarkan beberapa jenis kegagalan:

• Status TAC yang sebelumnya disetujui tiba-tiba menghilang.
• Halaman Daybreak kembali menampilkan opsi “Start verification”, seolah-olah pengguna belum pernah lolos verifikasi.
• Proses verifikasi tidak dapat dimulai, berhenti di tengah jalan, atau berakhir dengan pesan bahwa identitas tidak dapat diverifikasi atau akun tidak memenuhi syarat.
• Setidaknya satu peneliti mengaku telah melewati verifikasi identitas dan menerima email persetujuan Daybreak Blue, tetapi halaman TAC masih menampilkan pesan bahwa akunnya tidak memenuhi syarat.

Panduan pemecahan masalah OpenAI meminta pengguna mengikuti instruksi dalam pemberitahuan yang mereka terima jika upaya verifikasi gagal. OpenAI juga menyatakan bahwa hasil verifikasi tidak dapat ditimpa secara manual dan bahwa verifikasi Daybreak saat ini tidak menyediakan percobaan ulang maupun jalur banding.

Ketiadaan jalur banding biasa menjadi lebih serius ketika kegagalan tersebut mungkin dipicu oleh kesalahan platform. Dalam situasi seperti ini, pengguna yang sebelumnya telah dipercaya tidak hanya kehilangan akses, tetapi juga tidak memiliki mekanisme yang jelas untuk membuktikan bahwa penolakan baru itu merupakan kesalahan teknis.

Tanggapan OpenAI

OpenAI mengatakan hilangnya akses tersebut disebabkan masalah teknis yang memengaruhi sejumlah kecil pengguna, bukan penilaian ulang yang disengaja terhadap seluruh peneliti yang terdampak. Perusahaan menyebut pengalaman itu tidak sesuai dengan yang diinginkan dan mengatakan sedang berupaya mencegah masalah serupa terulang. OpenAI juga mengirim email kepada pengguna terdampak beserta jalur untuk memverifikasi ulang akses Daybreak Blue mereka.

Dalam panduan publiknya, OpenAI menyarankan pengguna untuk mencoba kembali proses verifikasi jika halaman tidak dapat dimuat, berhenti, atau menampilkan kesalahan teknis. Pengguna juga diminta memastikan peramban dan perangkat telah diperbarui, lalu menghubungi dukungan dengan menyertakan tangkapan layar jika masalah berlanjut. Namun, panduan tersebut tidak memberi dukungan pelanggan wewenang untuk mengubah keputusan kelayakan yang gagal.

Apakah masalah ini berkaitan dengan wilayah pengguna?

Laporan publik yang tersedia menunjukkan bahwa sebagian besar pengguna yang menyampaikan keluhan tampak berada di luar Amerika Serikat dan Eropa. Namun, informasi itu tidak dapat dianggap sebagai pemetaan geografis terverifikasi terhadap seluruh pengguna yang terdampak.

OpenAI memang tidak menyediakan akses ChatGPT dan API di semua negara atau wilayah. Karena itu, aturan ketersediaan regional secara teori dapat berinteraksi dengan status kelayakan akun dalam beberapa kasus. Akan tetapi, bukti yang tersedia belum menunjukkan bahwa aturan regional menyebabkan insiden ini. Untuk saat ini, faktor geografis lebih tepat dipandang sebagai variabel yang belum terjelaskan, bukan penyebab yang telah dikonfirmasi.

Pertanyaan yang masih belum terjawab

OpenAI belum menjelaskan secara terbuka:

• cacat teknis apa yang memicu pencabutan akses;
• berapa banyak pengguna yang terdampak;
• mengapa persetujuan sebelumnya tidak dipertahankan ketika akses dipulihkan; dan
• apakah kegagalan tertentu berkaitan dengan aturan wilayah, status akun, penyedia verifikasi identitas, atau bagian lain dari sistem kontrol akses.

Catatan publik yang tersedia juga belum memastikan apakah setiap peneliti yang terdampak dapat memulihkan aksesnya.

Insiden ini memperlihatkan ironi struktural dalam AI dengan akses terkontrol. Pengamanan Daybreak dirancang agar model keamanan siber yang mumpuni lebih berguna bagi pihak yang telah diverifikasi, sekaligus menjauhkannya dari pengguna yang tidak berwenang. Namun, perlindungan tersebut bergantung pada sistem identitas, kelayakan, dan penyediaan akses yang dapat diandalkan.

Jika sistem itu keliru mencabut akses pengguna tepercaya—atau tidak mampu membedakan kegagalan teknis dari kegagalan verifikasi—kontrol keamanan justru berubah menjadi hambatan operasional bagi orang-orang yang hendak dilindunginya.

Itulah pelajaran utama dari gangguan Daybreak Blue: mengurangi penyalahgunaan AI untuk kejahatan siber bukan hanya persoalan keamanan model. Ini juga persoalan manajemen akses. Sistem akses yang dapat dipercaya harus mampu mempertahankan persetujuan yang sah, memulihkan akses setelah kesalahan platform, dan menyediakan cara untuk meninjau penolakan yang keliru.