Glitch OpenAI Mendadak Mencabut Akses Peneliti Siber Terverifikasi

Sejumlah peneliti keamanan siber melaporkan pada 19 Agustus 2026 bahwa akses mereka ke Trusted Access for Cyber (TAC) milik OpenAI tiba-tiba hilang. Saat membuka halaman Cyber di ChatGPT, sebagian pengguna melihat pesan bahwa identitas mereka tidak dapat diverifikasi atau akun mereka tidak memenuhi syarat. Setidaknya satu peneliti menerima pemberitahuan bahwa akses Daybreak Blue miliknya telah dicabut. 513

OpenAI mengatakan penguncian itu disebabkan masalah teknis yang berdampak pada “sebagian pengguna”, bukan perubahan kebijakan yang disengaja. Perusahaan meminta peneliti terdampak kembali menyelesaikan verifikasi identitas dan mengajukan permohonan baru. 813

Apa yang terjadi pada akses para peneliti?

Insiden ini menimpa orang-orang yang mengatakan bahwa mereka sebelumnya telah lolos proses pemeriksaan untuk program akses siber terbatas OpenAI. Alih-alih mengenali persetujuan lama, halaman Cyber memperlakukan sebagian akun seolah-olah belum terverifikasi atau baru dinyatakan tidak memenuhi syarat.

Dalam beberapa kasus, mengulangi proses tersebut tidak langsung mengembalikan persetujuan sebelumnya. Laporan juga menyebutkan bahwa tim dukungan tidak dapat begitu saja mengesampingkan keputusan baru atau memulihkan status lama. 716

OpenAI tidak mengungkap jumlah total akun yang terdampak. Angka paling jelas yang tersedia untuk publik adalah lima peneliti yang diwawancarai atau dihubungi dalam pemberitaan. Karena itu, lima orang merupakan jumlah minimum yang terlihat dalam laporan, bukan total resmi korban gangguan. 1317

Apa itu TAC, Daybreak Blue, dan Daybreak Red?

Trusted Access for Cyber adalah program akses yang melalui proses peninjauan. TAC bukan nama sebuah model AI. Program ini memberikan akses terbatas kepada individu dan organisasi yang telah disetujui untuk menggunakan model berkemampuan siber dalam pekerjaan yang sah.

Persetujuannya dapat dibatasi berdasarkan orang atau layanan tertentu, organisasi atau ruang kerja OpenAI, proyek API, model, serta antarmuka produk yang digunakan. 22

Dua tingkat akses Daybreak memiliki fungsi berbeda:

• Daybreak Blue memberikan akses ke model umum terdepan, termasuk GPT-5.6 Sol, dengan perlindungan yang disesuaikan untuk pekerjaan pertahanan siber oleh pengguna terverifikasi. Contoh penggunaannya meliputi triase kerentanan, peninjauan kode aman, analisis malware, rekayasa deteksi, respons insiden, dan validasi patch. 2425
• Daybreak Red menyediakan model keamanan siber yang dilatih khusus untuk alur kerja resmi yang lebih lanjut, seperti pengujian penetrasi, red teaming, validasi atau pengembangan eksploit, serta riset kerentanan terkontrol. Tingkat ini memerlukan persetujuan dan penyediaan akses secara terpisah. Persetujuan Blue tidak otomatis memberikan akses Red. 222425

Perbedaan ini penting karena akses TAC bukan pembebasan menyeluruh dari kontrol keamanan. Akses tetap dibatasi pada pengguna atau organisasi yang terverifikasi, lingkungan yang disetujui, dan tujuan yang sah. Dokumentasi OpenAI juga menetapkan bahwa pengguna yang disetujui harus memakai ruang kerja, proyek API, model, serta jalur akses yang sesuai. 2227

Bagaimana peneliti bisa mendapatkan akses?

Proses kelayakan mencakup verifikasi identitas, peninjauan tujuan penggunaan, dan pemeriksaan lingkungan operasional. Untuk organisasi, persetujuan juga dapat diatur pada tingkat ruang kerja atau proyek API. Daybreak Red memiliki keputusan kelayakan tersendiri serta kontrol akses yang lebih ketat. 222431

Setelah gangguan pada 19 Agustus, pengguna terdampak diminta melakukan verifikasi ulang dan mengajukan permohonan baru. Di sinilah muncul masalah praktis: verifikasi ulang merupakan tahap kelayakan baru, bukan jaminan tertulis bahwa persetujuan sebelumnya akan dipulihkan.

Sejumlah laporan menyebut peneliti yang telah mengikuti instruksi tersebut masih diberi tahu bahwa akun mereka tidak memenuhi syarat. 716

Untuk menangani masalah akses Daybreak secara umum, OpenAI menyarankan pengguna memastikan bahwa mereka memakai organisasi atau ruang kerja yang disetujui, proyek API yang benar, jalur akses resmi, serta alias atau ID model yang tepat. Daybreak Blue menggunakan gpt-daybreak-blue atau gpt-5.6-sol, sedangkan Daybreak Red menggunakan gpt-daybreak-red atau gpt-5.6-cyber. 27

Apakah peneliti di luar AS dan Eropa lebih terdampak?

Ada pola geografis yang patut dicermati dalam pemberitaan publik: kelima peneliti yang diidentifikasi dalam laporan disebut tinggal di luar Amerika Serikat dan Eropa. Hal ini membuka kemungkinan adanya gangguan regional atau masalah pada sistem verifikasi identitas. 913

Namun, bukti yang tersedia belum membuktikan diskriminasi berdasarkan lokasi. OpenAI belum mempublikasikan jumlah keseluruhan pengguna terdampak, negara-negara yang terlibat, maupun penyebab teknis gangguan tersebut.

Kesimpulan yang paling aman adalah bahwa kasus-kasus publik menunjukkan konsentrasi geografis tertentu, sementara cakupan dan penjelasan teknisnya masih belum lengkap. 49

Mengapa perusahaan AI membuat program verifikasi siber?

Model AI terdepan dapat membantu pihak yang bertahan menghadapi ancaman dengan menemukan kerentanan, meninjau kode, menganalisis malware, meningkatkan sistem deteksi, dan memvalidasi perbaikan. Namun, kemampuan yang sama juga dapat dimanfaatkan untuk menerobos sistem, mengembangkan eksploit, atau melakukan aktivitas berbahaya lainnya.

Program akses terkendali berupaya mempertahankan manfaat tersebut bagi peneliti yang dapat dimintai pertanggungjawaban. Caranya antara lain melalui pemeriksaan identitas, pembatasan tujuan penggunaan, pemantauan, dan pengamanan tambahan. 2425

Anthropic menerapkan pendekatan serupa melalui Cyber Verification Program. Program ini ditujukan bagi profesional keamanan yang melakukan pekerjaan sah, termasuk riset kerentanan, pengujian penetrasi, dan red teaming. Kerangka keselamatan Anthropic yang lebih luas juga menggabungkan kontrol akses dengan pemantauan waktu nyata dan pemantauan asinkron. 444750

Pendekatan ini dikenal sebagai defense in depth, atau pertahanan berlapis. Tidak ada satu filter yang diharapkan mampu menangani seluruh risiko. Keputusan akses, pengamanan model, pemantauan, dan peninjauan setelah kejadian digunakan secara berlapis untuk mengurangi potensi penyalahgunaan. 43

Mengapa peneliti mengkritik guardrail siber?

Kesulitan utamanya adalah sifat keamanan siber yang dual-use: satu permintaan dapat menggambarkan validasi kerentanan yang sah dalam satu konteks, tetapi menjadi persiapan serangan dalam konteks lain.

Karena itu, para peneliti berpendapat bahwa filter otomatis yang terlalu luas dapat memblokir pekerjaan resmi, termasuk reproduksi eksploit, analisis malware, latihan red team, dan pengujian kerentanan. 134150

Kritik lain menyasar keputusan kelayakan yang tidak transparan, permintaan verifikasi identitas berulang, proses banding yang lambat atau tidak efektif, serta kemungkinan bahwa peneliti independen atau pengguna di luar pasar Barat utama berada pada posisi yang kurang menguntungkan.

Gangguan TAC mempertegas kekhawatiran tersebut. Kegagalan teknis menghentikan riset pertahanan yang justru hendak didukung oleh program ini. Menurut sejumlah laporan, proses pemulihannya kemudian menambahkan hambatan kelayakan baru. 713

Kesimpulan

Bukti yang tersedia mengarah pada penguncian akses TAC yang tidak disengaja, bukan pembalikan kebijakan yang telah dikonfirmasi. OpenAI menyalahkan kesalahan teknis, meminta peneliti terdampak melakukan verifikasi ulang dan mengajukan permohonan kembali, tetapi belum mengungkap jumlah akun yang terkena dampak.

Lima peneliti yang teridentifikasi secara publik dilaporkan tinggal di luar Amerika Serikat dan Eropa. Namun, pola tersebut saja belum dapat membuktikan bias geografis.

Pelajaran yang lebih besar bukan hanya soal keamanan, tetapi juga keandalan. Ketika akses ke perangkat siber berkemampuan tinggi bergantung pada sistem verifikasi dan izin yang sangat terbatas, kegagalan pada identitas atau hak akses dapat menjadi hambatan serius bagi penelitian.

Akses terkendali mungkin membantu mengurangi penyalahgunaan, tetapi program semacam ini juga membutuhkan aturan kelayakan yang transparan, mekanisme pemulihan yang dapat diandalkan, serta jalur yang kredibel untuk memperbaiki kesalahan penguncian akun.