Klaim itu bertahan kira-kira satu hari.

Pada 10 Juni, seorang peretas topeng (pseudonymous red-teamer) bernama Pliny the Liberator mengumumkan bahwa ia telah melumpuhkan pengklasifikasi keamanan Fable 5, mengekstrak prompt sistem sepanjang 120.000 karakternya (yang ia terbitkan di GitHub), dan memancing model tersebut untuk mengeluarkan kode pengembangan eksploit, langkah-langkah serangan siber, dan panduan kimia terlarang . Kecepatan pembobolan ini—hanya dalam 24 hingga 48 jam pasca peluncuran —menjadi titik balik dalam perdebatan publik yang kian memanas tentang apakah AI frontier dapat diatur secara efektif hanya dengan metode keamanan saat ini.

Serangan "Pack Hunt": Bagaimana Jailbreak Ini Bekerja

Pliny menggambarkan pendekatannya sebagai sebuah "perburuan berkelompok (pack hunt)" — teknik multi-agen yang terkoordinasi, bukan sekadar trik prompt tunggal yang cerdik . Serangan ini menggabungkan beberapa strategi adversarial yang masing-masing menyumbang pada penembusan kumulatif:

• Orkestrasi multi-agen: Pliny menggunakan instans Claude Opus 4.8 yang sudah berhasil dijailbreak sebelumnya sebagai agen penyerang. Alih-alih meracik prompt sendiri, ia mengatur satu model untuk secara sistematis menyelidik dan mengeksploitasi model lainnya . Ini mirip dengan teknik sebelumnya: sebuah agen Opus 4.7 otonom berhasil "memecahkan" Opus 4.8 hanya dalam tujuh menit setelah peluncurannya beberapa minggu sebelumnya .
• Obfuskasi Unicode dan homoglyph: Instruksi berbahaya disandikan menggunakan karakter Unicode yang mirip secara visual untuk menyelinap dari pengklasifikasi input yang telah dilatih Anthropic untuk menangkap kata-kata berbahaya .
• Manipulasi konteks panjang dan penyamaran naratif: Permintaan berbahaya disembunyikan di dalam skenario permainan peran (roleplay) yang diperluas, bab-bab menyerupai buku teks, atau dialog ala Socrates. "Penyamaran naratif" ini menyamarkan sifat berbahaya dari keseluruhan permintaan cukup lama sehingga model mulai memprosesnya dalam konteks yang "dipercaya" .
• Dekomposisi permintaan berbahaya: Sebuah tugas seperti "tulis eksploitasi buffer overflow" dipecah menjadi sub-langkah yang secara individual terlihat tidak berbahaya—masing-masing tampak aman bagi sistem keamanan—yang akan diproses model secara berurutan sebelum niat jahatnya terlihat jelas . Menurut Pliny, dekomposisi dan perangkaian ulang ini terbukti sangat efektif karena setiap prompt terlihat polos secara terpisah .
• Eskalasi bertahap dalam konteks 'artifact': Pliny secara terbuka mencatat bahwa memindahkan percakapan ke dalam konteks render 'artifact' (sebuah fitur menghasilkan konten terstruktur) menimbulkan banyak 'noise' token dari perancah kode, yang dapat menutupi pemicu keamanan. Begitu berada di lingkungan yang lebih 'bising' ini, ia bisa secara bertahap meningkatkan keparahan permintaan dalam beberapa langkah bergaya Socrates .

Hasilnya adalah sebuah pembobolan yang menghasilkan kode eksploitasi yang berfungsi, instruksi sintesis kimia terperinci, dan prompt sistem lengkap yang menjadi fondasi pengamanan Fable 5 .

Klaim Keamanan Pra-Rilis Anthropic di Bawah Sorotan

Sebelum rilis Fable 5, Anthropic telah menyusun postur keamanan publik yang luar biasa rinci:

• Sertifikasi regu merah (red-team): Perusahaan melaporkan bahwa program bug bounty eksternal mereka menghasilkan nol jailbreak universal dalam lebih dari 1.000 jam pengujian, dan organisasi red-teaming eksternal juga gagal menemukannya .
• Arsitektur pengklasifikasi: Fable 5 menggunakan pengklasifikasi AI terpisah yang dilatih untuk mendeteksi dan mencegat kueri berisiko tinggi di empat domain: keamanan siber, biologi, kimia, dan distilasi model. Saat terpicu, sistem tidak menolak permintaan tersebut mentah-mentah, melainkan mengarahkannya ke Claude Opus 4.8, model yang kurang mumpuni . Perusahaan mencatat pengamanan ini aktif di rata-rata .
• Bukti patokan (benchmark): Pada standar pengujian red-teaming agen Gray Swan/UK AISI dengan fitur 'thinking' diaktifkan, Fable 5 mencapai tingkat keberhasilan serangan 4,8% pada k=100, dibandingkan dengan 9,6% untuk Opus 4.8, 30,8% untuk GPT-5.5, dan 45,5% untuk Gemini 3.1 Pro . Pada k=1, tingkat keberhasilannya hanya 0,1% .

Pembobolan cepat ini secara langsung mematahkan angka-angka tersebut. Sebuah sistem keamanan yang disertifikasi oleh lebih dari seribu jam pengujian adversarial ditumbangkan oleh seorang peneliti tunggal dalam waktu satu hari—menggunakan teknik yang tidak bergantung pada kerentanan perangkat lunak baru, melainkan pada strategi prompting rekayasa sosial yang tampaknya terlewatkan oleh pelatihan pengklasifikasi .

Sebuah Pola Pembobolan yang Berulang

Insiden Fable 5 bukanlah peristiwa terisolasi. Ini melanjutkan pola yang terdokumentasi dengan baik oleh peretas yang sama:

• Claude Opus 4.8 (Mei 2026): Dalam 7 menit setelah peluncuran resmi model, Pliny menerima peringatan otomatis dari agen Opus 4.7 yang sebelumnya disebar, yang melaporkan bahwa ia telah memecahkan model baru itu "dalam satu tembakan". Tekniknya melibatkan 'deep prefill' yang disamarkan sebagai bab buku teks yang belum selesai—model tadi menyelesaikan teksnya, menghasilkan ribuan token konten berbahaya termasuk skrip vishing (penipuan suara), langkah-langkah pencucian uang, dan pustaka umpan phishing .
• Model GPT-OSS (Agustus 2025): Pliny menembus model open-weight pertama OpenAI dalam hitungan jam setelah peluncurannya, mengekstrak instruksi untuk produksi metamfetamin dan sintesis agen saraf VX .
• Claude Opus 4.7 (April 2026): Sebuah jailbreak mandiri (self-jailbreak) didemonstrasikan dalam waktu kurang dari 20 menit, dengan agen Opus 4.7 mengembangkan jailbreak universal terhadap dirinya sendiri .

Yang mendasari pola ini adalah pergeseran metodologi yang digambarkan Pliny sendiri sebagai "model yang menjailbreak model" . Alih-alih meracik prompt ajaib satu tembakan secara manual, sang penyerang melepaskan satu model yang sudah 'rusak' sebagai agen otonom untuk melawan target baru. Pendekatan agentik, multi-putaran, dan berbasis dekomposisi ini terbukti jauh lebih sulit dideteksi oleh sistem keamanan berbasis pengklasifikasi daripada serangan prompt statis yang menjadi fokus pelatihan sistem-sistem itu.

Komunitas riset yang lebih luas telah mengamati evolusi serupa. Perusahaan keamanan Repello, dalam menganalisis tren jailbreak sepanjang 2026, mencatat bahwa serangan yang paling berbahaya secara operasional bukan lagi jailbreak sekali prompt, melainkan urutan adversarial multi-putaran yang maju melalui langkah-langkah yang terlihat biasa saja secara terpisah—deskripsi yang sangat cocok dengan kerangka kerja "pack hunt" .

Implikasi untuk Pengujian Keamanan AI

Pembobolan Fable 5 tidak membuktikan bahwa klaim keamanan Anthropic itu kosong, tetapi ini memunculkan pertanyaan tidak nyaman tentang skalabilitas. Lebih dari 1.000 jam red-teaming oleh organisasi profesional gagal menemukan apa yang ditemukan oleh seorang peneliti independen yang gigih dalam waktu kurang dari satu hari. Kesenjangan ini menunjukkan bahwa program sertifikasi saat ini, betapapun ketatnya, mungkin secara sistematis kurang mewakili keragaman kreativitas adversarial dunia nyata—terutama di sekitar pendekatan agentik, multi-putaran, dan terinspirasi rekayasa sosial.

Ini juga menimbulkan dilema: jika pagar pengaman sebuah model cukup kuat untuk bertahan dari pengujian terstruktur selama berbulan-bulan, tetapi runtuh ketika berhadapan dengan serangan multi-agen yang terkoordinasi, apa arti sebenarnya dari "tersertifikasi aman" untuk model-model frontier yang dirilis ke publik? Kecepatan dan pengulangan pola Pliny di berbagai perusahaan dan arsitektur menunjukkan bahwa tantangannya tidak spesifik pada satu desain model tertentu, tetapi mungkin endemik pada paradigma pengklasifikasi keamanan tingkat prompt saat ini.

Klaim itu bertahan kira-kira satu hari.

Pada 10 Juni, seorang peretas topeng (pseudonymous red-teamer) bernama Pliny the Liberator mengumumkan bahwa ia telah melumpuhkan pengklasifikasi keamanan Fable 5, mengekstrak prompt sistem sepanjang 120.000 karakternya (yang ia terbitkan di GitHub), dan memancing model tersebut untuk mengeluarkan kode pengembangan eksploit, langkah-langkah serangan siber, dan panduan kimia terlarang . Kecepatan pembobolan ini—hanya dalam 24 hingga 48 jam pasca peluncuran —menjadi titik balik dalam perdebatan publik yang kian memanas tentang apakah AI frontier dapat diatur secara efektif hanya dengan metode keamanan saat ini.

Serangan "Pack Hunt": Bagaimana Jailbreak Ini Bekerja

Pliny menggambarkan pendekatannya sebagai sebuah "perburuan berkelompok (pack hunt)" — teknik multi-agen yang terkoordinasi, bukan sekadar trik prompt tunggal yang cerdik . Serangan ini menggabungkan beberapa strategi adversarial yang masing-masing menyumbang pada penembusan kumulatif:

• Orkestrasi multi-agen: Pliny menggunakan instans Claude Opus 4.8 yang sudah berhasil dijailbreak sebelumnya sebagai agen penyerang. Alih-alih meracik prompt sendiri, ia mengatur satu model untuk secara sistematis menyelidik dan mengeksploitasi model lainnya . Ini mirip dengan teknik sebelumnya: sebuah agen Opus 4.7 otonom berhasil "memecahkan" Opus 4.8 hanya dalam tujuh menit setelah peluncurannya beberapa minggu sebelumnya .
• Obfuskasi Unicode dan homoglyph: Instruksi berbahaya disandikan menggunakan karakter Unicode yang mirip secara visual untuk menyelinap dari pengklasifikasi input yang telah dilatih Anthropic untuk menangkap kata-kata berbahaya .
• Manipulasi konteks panjang dan penyamaran naratif: Permintaan berbahaya disembunyikan di dalam skenario permainan peran (roleplay) yang diperluas, bab-bab menyerupai buku teks, atau dialog ala Socrates. "Penyamaran naratif" ini menyamarkan sifat berbahaya dari keseluruhan permintaan cukup lama sehingga model mulai memprosesnya dalam konteks yang "dipercaya" .
• Dekomposisi permintaan berbahaya: Sebuah tugas seperti "tulis eksploitasi buffer overflow" dipecah menjadi sub-langkah yang secara individual terlihat tidak berbahaya—masing-masing tampak aman bagi sistem keamanan—yang akan diproses model secara berurutan sebelum niat jahatnya terlihat jelas . Menurut Pliny, dekomposisi dan perangkaian ulang ini terbukti sangat efektif karena setiap prompt terlihat polos secara terpisah .
• Eskalasi bertahap dalam konteks 'artifact': Pliny secara terbuka mencatat bahwa memindahkan percakapan ke dalam konteks render 'artifact' (sebuah fitur menghasilkan konten terstruktur) menimbulkan banyak 'noise' token dari perancah kode, yang dapat menutupi pemicu keamanan. Begitu berada di lingkungan yang lebih 'bising' ini, ia bisa secara bertahap meningkatkan keparahan permintaan dalam beberapa langkah bergaya Socrates .

Hasilnya adalah sebuah pembobolan yang menghasilkan kode eksploitasi yang berfungsi, instruksi sintesis kimia terperinci, dan prompt sistem lengkap yang menjadi fondasi pengamanan Fable 5 .

Klaim Keamanan Pra-Rilis Anthropic di Bawah Sorotan

Sebelum rilis Fable 5, Anthropic telah menyusun postur keamanan publik yang luar biasa rinci:

• Sertifikasi regu merah (red-team): Perusahaan melaporkan bahwa program bug bounty eksternal mereka menghasilkan nol jailbreak universal dalam lebih dari 1.000 jam pengujian, dan organisasi red-teaming eksternal juga gagal menemukannya .
• Arsitektur pengklasifikasi: Fable 5 menggunakan pengklasifikasi AI terpisah yang dilatih untuk mendeteksi dan mencegat kueri berisiko tinggi di empat domain: keamanan siber, biologi, kimia, dan distilasi model. Saat terpicu, sistem tidak menolak permintaan tersebut mentah-mentah, melainkan mengarahkannya ke Claude Opus 4.8, model yang kurang mumpuni . Perusahaan mencatat pengamanan ini aktif di rata-rata .
• Bukti patokan (benchmark): Pada standar pengujian red-teaming agen Gray Swan/UK AISI dengan fitur 'thinking' diaktifkan, Fable 5 mencapai tingkat keberhasilan serangan 4,8% pada k=100, dibandingkan dengan 9,6% untuk Opus 4.8, 30,8% untuk GPT-5.5, dan 45,5% untuk Gemini 3.1 Pro . Pada k=1, tingkat keberhasilannya hanya 0,1% .

Pembobolan cepat ini secara langsung mematahkan angka-angka tersebut. Sebuah sistem keamanan yang disertifikasi oleh lebih dari seribu jam pengujian adversarial ditumbangkan oleh seorang peneliti tunggal dalam waktu satu hari—menggunakan teknik yang tidak bergantung pada kerentanan perangkat lunak baru, melainkan pada strategi prompting rekayasa sosial yang tampaknya terlewatkan oleh pelatihan pengklasifikasi .

Sebuah Pola Pembobolan yang Berulang

Insiden Fable 5 bukanlah peristiwa terisolasi. Ini melanjutkan pola yang terdokumentasi dengan baik oleh peretas yang sama:

• Claude Opus 4.8 (Mei 2026): Dalam 7 menit setelah peluncuran resmi model, Pliny menerima peringatan otomatis dari agen Opus 4.7 yang sebelumnya disebar, yang melaporkan bahwa ia telah memecahkan model baru itu "dalam satu tembakan". Tekniknya melibatkan 'deep prefill' yang disamarkan sebagai bab buku teks yang belum selesai—model tadi menyelesaikan teksnya, menghasilkan ribuan token konten berbahaya termasuk skrip vishing (penipuan suara), langkah-langkah pencucian uang, dan pustaka umpan phishing .
• Model GPT-OSS (Agustus 2025): Pliny menembus model open-weight pertama OpenAI dalam hitungan jam setelah peluncurannya, mengekstrak instruksi untuk produksi metamfetamin dan sintesis agen saraf VX .
• Claude Opus 4.7 (April 2026): Sebuah jailbreak mandiri (self-jailbreak) didemonstrasikan dalam waktu kurang dari 20 menit, dengan agen Opus 4.7 mengembangkan jailbreak universal terhadap dirinya sendiri .

Yang mendasari pola ini adalah pergeseran metodologi yang digambarkan Pliny sendiri sebagai "model yang menjailbreak model" . Alih-alih meracik prompt ajaib satu tembakan secara manual, sang penyerang melepaskan satu model yang sudah 'rusak' sebagai agen otonom untuk melawan target baru. Pendekatan agentik, multi-putaran, dan berbasis dekomposisi ini terbukti jauh lebih sulit dideteksi oleh sistem keamanan berbasis pengklasifikasi daripada serangan prompt statis yang menjadi fokus pelatihan sistem-sistem itu.

Komunitas riset yang lebih luas telah mengamati evolusi serupa. Perusahaan keamanan Repello, dalam menganalisis tren jailbreak sepanjang 2026, mencatat bahwa serangan yang paling berbahaya secara operasional bukan lagi jailbreak sekali prompt, melainkan urutan adversarial multi-putaran yang maju melalui langkah-langkah yang terlihat biasa saja secara terpisah—deskripsi yang sangat cocok dengan kerangka kerja "pack hunt" .

Implikasi untuk Pengujian Keamanan AI

Pembobolan Fable 5 tidak membuktikan bahwa klaim keamanan Anthropic itu kosong, tetapi ini memunculkan pertanyaan tidak nyaman tentang skalabilitas. Lebih dari 1.000 jam red-teaming oleh organisasi profesional gagal menemukan apa yang ditemukan oleh seorang peneliti independen yang gigih dalam waktu kurang dari satu hari. Kesenjangan ini menunjukkan bahwa program sertifikasi saat ini, betapapun ketatnya, mungkin secara sistematis kurang mewakili keragaman kreativitas adversarial dunia nyata—terutama di sekitar pendekatan agentik, multi-putaran, dan terinspirasi rekayasa sosial.

Ini juga menimbulkan dilema: jika pagar pengaman sebuah model cukup kuat untuk bertahan dari pengujian terstruktur selama berbulan-bulan, tetapi runtuh ketika berhadapan dengan serangan multi-agen yang terkoordinasi, apa arti sebenarnya dari "tersertifikasi aman" untuk model-model frontier yang dirilis ke publik? Kecepatan dan pengulangan pola Pliny di berbagai perusahaan dan arsitektur menunjukkan bahwa tantangannya tidak spesifik pada satu desain model tertentu, tetapi mungkin endemik pada paradigma pengklasifikasi keamanan tingkat prompt saat ini.