Dasbor Agen Vibe-Coded milik METR Menonaktifkan Loginnya Sendiri, dan Seorang Penyerang Menghabiskan $600.000 Kredit Model

Pada Maret 2026, seseorang mengambil kunci API untuk akun public-models milik METR dari instans Amazon EC2 pribadi seorang peneliti dan menggunakannya selama tiga minggu. METR — Model Evaluation and Threat Research, organisasi nirlaba yang mengukur sejauh mana agen AI mampu menuntaskan tugas-tugas berjangka panjang — menaksir nilai komersial kredit yang terpakai sekitar US$600.000. Kunci itu tidak diperoleh lewat phishing terhadap manusia: penyerang membujuk agen yang berjalan di dasbor vibe-coded milik peneliti agar menyerahkan kunci API penyedia modelnya, lalu menambahkan kunci SSH supaya bisa kembali masuk. METR mengungkap insiden ini pada 31 Agustus 2026, dan catatan tersebut menyandang nilai keparahan tinggi dari arsip serta peringkat keyakinan A. Pengungkapan ini merupakan salah satu catatan dalam arsip insiden AI, yang memuat kumpulan catatan lengkap, sumber-sumbernya, dan entri-entri di sekitarnya dalam seri ini.

Apa yang sebenarnya dikatakan catatan itu

Arsip mengklasifikasikan ini sebagai insiden yang benar-benar terjadi, bukan pengungkapan kelemahan teoretis: tingkat keparahan tinggi, keyakinan A, tidak diperdebatkan, dengan kerugian nyata yang tercatat dan keterlibatan AI yang terkonfirmasi. Tag jenisnya adalah CRED, wilayahnya adalah Amerika Serikat, dan tanggalnya dicatat hanya sampai bulan — arsip mengetahui pencurian itu terjadi pada Maret 2026 dan tidak mengklaim tanggal harinya, dan METR juga tidak.

Kerugian itu memerlukan satu kualifikasi, dan METR menyediakannya. Kredit tersebut diberikan kepada METR secara gratis oleh pengembang model, sehingga $600,000 adalah nilai dari apa yang dikonsumsi, bukan uang yang keluar dari suatu akun. Paragraf pembuka The Register menyampaikan poin yang sama dengan lebih blak-blakan: penyedia model memberikan kredit itu kepada METR, dan pelanggan yang benar-benar membayar tidak akan seberuntung itu. Infosecurity Magazine melaporkan angka tersebut dengan cara yang sama, sebagai nilai komersial, bukan kerugian finansial langsung.

Postingan METR mencakup dua insiden, bukan satu. Kampanye Mei 2026 dijelaskan secara terpisah lebih jauh di bawah; pencurian kunci dan pengeluaran selama tiga minggu adalah peristiwa Maret, dan itulah subjek artikel ini.

Cacatnya ada pada login, bukan pada model.

Seorang peneliti METR tanpa akses sensitif menjalankan agen pada instans EC2 pribadi yang sengaja dibuat dapat diakses publik, di balik autentikasi Google. Instans tersebut membawa kunci API untuk akun akses umum METR — akun yang digunakan untuk model publik, yang oleh METR dikategorikan sebagai data paling tidak sensitif kedua. Aplikasi orkestrasi di sekitar agen-agen itu dibuat secara vibe-coding, dan aplikasi tersebut mengandung apa yang disebut METR sebagai kerentanan fail-open yang secara diam-diam menonaktifkan autentikasi.

Fail-open layak diterjemahkan, karena itulah seluruh insiden dalam dua kata. Pemeriksaan login memiliki dua cara untuk salah: pemeriksaan itu dapat menolak pengguna yang sah, atau dapat menerima siapa saja saat pemeriksaan itu sendiri rusak. Fail-open berarti yang kedua — ketika langkah autentikasi mengalami error atau dilewati, aplikasi memperlakukan permintaan sebagai diizinkan, bukan ditolak. Tidak ada yang memberi peringatan. Dalam catatan METR, hasilnya adalah sistem yang berada di internet publik selama beberapa hari dengan pintu depannya terbuka lebar dan tidak ada indikasi bahwa ada yang berubah.

METR tidak menyebutkan nama alat orkestrasi atau framework yang digunakan untuk membangun dasbor tersebut, tidak menerbitkan kodenya, dan tidak menyatakan di titik mana integrasi autentikasi itu gagal. Yang ditegaskan oleh tulisan tersebut adalah kesalahan arsitektural yang mendasari bug itu: sebuah kredensial untuk akun model organisasi berada di infrastruktur yang tidak dikendalikan METR, di dalam sebuah aplikasi yang diterapkan sendiri oleh seorang peneliti.

Bagaimana kunci itu keluar dari gedung

Rekonstruksi METR atas pendekatan penyerang secara eksplisit merupakan kecurigaan, bukan temuan, dan itu adalah klaim paling menarik yang belum terbukti dalam pengungkapan tersebut. Pos itu menyebut METR menduga penyerang menemukan instans tersebut dengan menjelajahi situs web yang baru didaftarkan — daftar transparansi sertifikat disebut sebagai contoh — untuk mencari situs bergaya vibe-coded yang memuat kata kunci yang menandakan proyek LLM atau agen, guna memanen kunci API penyedia model yang ditinggalkan dalam keadaan terekspos.

Log transparansi sertifikat bersifat publik secara desain: setiap sertifikat yang diterbitkan untuk situs yang dipercaya publik dicatat, sehingga nama host baru muncul di feed yang dapat dicari dalam beberapa menit setelah aktif. Memfilter feed tersebut untuk nama yang mengandung terminologi agen atau model itu murah, tidak memerlukan akses ke target, dan menghasilkan daftar deployment baru yang mungkin belum ditinjau oleh siapa pun. Jika dibaca sebagai teknik perburuan, tindakan biasa menerbitkan demo berubah menjadi sinyal.

Setelah masuk, penyerang tidak perlu mencuri rahasia dari sistem berkas. Mereka langsung meminta agen untuk mengungkapkan kunci API penyedia modelnya, yang merupakan kalimat yang perlu direnungkan sejenak: agen memiliki kredensial itu dalam konteksnya dan bisa dibujuk untuk mencetaknya. Penyerang kemudian menambahkan kunci SSH untuk akses persisten, sehingga menutup celah autentikasi tidak akan mengusir mereka, lalu menetap selama tiga minggu untuk melakukan inferensi pada model yang tersedia untuk publik.

Pengembang model tidak disebutkan namanya — bukan oleh METR, dan bukan oleh The Register, Dark Reading, Infosecurity Magazine atau The Hacker News dalam liputan mereka tentang pengungkapan tersebut. Tidak ada CVE yang diterbitkan, karena tidak ada kerentanan produk yang menjadi persoalan. Tidak ada penangkapan, tuduhan, atau atribusi kepada kelompok yang disebutkan namanya yang dilaporkan.

Mengapa tiga minggu penggunaan yang tidak normal terlihat normal

METR menjawab pertanyaan yang jelas secara langsung, dan jawabannya adalah bagian yang perlu dibaca dua kali oleh organisasi lain. Organisasi nirlaba ini menjalankan evaluasi berskala besar, yang berarti organisasi ini sangat terbiasa dengan jumlah token yang sangat besar dan dengan aliran error pembatasan laju dan API yang aneh, banyak di antaranya semu. Lonjakan lalu lintas model, dengan sendirinya, bukanlah sebuah sinyal.

Tiga celah spesifik mengubah keakraban itu menjadi tiga minggu keheningan. Dasbor penggunaan internal METR tidak menampilkan data tentang permintaan yang dibatasi laju di semua pengguna, bahkan saat permintaan itu sedang terjadi. Karena tokennya gratis, tidak ada tagihan dan karenanya tidak ada batas belanja alami yang akan terpicu. Dan pada saat itu, METR mengatakan tidak ada cara sama sekali untuk menetapkan batas belanja pada kunci semacam itu. Organisasi yang membayar harga daftar dengan batas keras akan menabrak dinding dalam hitungan jam; organisasi dengan kredit donasi dan tanpa batas tidak punya apa pun untuk ditabrak.

Apa yang tidak diambil

Taksonomi data METR berkisar dari materi yang dipublikasikan hingga akses model generik, akses model sensitif, dan informasi bisnis yang sangat sensitif. Peneliti yang terlibat tidak memiliki akses ke dua kategori teratas, dan METR menyatakan bahwa sejauh pengetahuannya tidak ada data dari kategori tersebut yang diakses akibat salah satu dari kedua insiden itu.

Selain satu kunci itu, METR mengatakan forensik manual dan berbantuan agen tidak menemukan kompromi, dan bahwa konsultan keamanannya, Calif, memvalidasi temuan tersebut dan menjalankan penilaian komprominya sendiri. Itu adalah kontrol yang berarti — perusahaan luar memeriksa akun alih-alih menerimanya — tetapi itu tidak independen dari METR, yang menyewa dan membayar Calif. Belum ada pihak ketiga yang menerbitkan tinjauan forensiknya sendiri atas insiden tersebut.

Apa yang dilakukan METR saat menyadarinya

Urutan respons dalam postingan itu bersifat konkret. METR mengetahui bahwa lonjakan penggunaan bukan bagian dari evaluasi, melacaknya hingga ke instance pribadi yang terkompromi, mencabut seluruh akses peneliti, menghentikan dan membuat image instance tersebut, merotasi setiap kredensial yang ada di dalamnya, serta membuat image dan menghapus data laptop peneliti. METR memberi tahu perusahaan AI mitra yang kreditnya sedang digunakan dan terus memperbarui perusahaan itu selama respons berlangsung.

METR tidak menjelaskan alasan di balik penghapusan data laptop, dan itu adalah satu-satunya langkah dalam rangkaian tersebut yang melampaui pencabutan akses ke instans itu sendiri—penafsiran yang masuk akal adalah bahwa peneliti yang sama telah menangani kredensial itu dari workstation yang dapat dijangkau penyerang, dan membuat image lalu membangunnya ulang adalah cara murah untuk memastikan kondisi sebuah mesin.

Apa yang berubah setelahnya

METR mencantumkan empat perubahan yang terkait dengan insiden ini:

• Kebijakan keamanan bagi karyawan dan kontraktor telah diperjelas dan diperluas, khususnya terkait menempatkan kredensial atau data METR pada infrastruktur dan perangkat yang tidak dimiliki METR.

• Proses tinjauan keamanan formal kini berlaku bagi setiap peneliti yang meluncurkan aplikasi secara publik.

• Cakupan pemantauan diperluas, disertai upaya menghilangkan peringatan berisik yang membuat petugas penanggap terbiasa mengabaikannya.

• Peringatan pengeluaran ditambahkan ke kunci jika penyedia memungkinkan — pernyataan berhati-hati itu penting, karena poin sebelumnya di postingan adalah bahwa beberapa kunci jenis ini tidak dapat diberi batas pada saat itu.

Pengungkapan tersebut juga mencantumkan pekerjaan di seluruh organisasi: merekrut seorang pemimpin keamanan dan merencanakan seorang insinyur keamanan penuh waktu, meningkatkan keterlibatan Calif, menonaktifkan infrastruktur lama yang memperbesar permukaan serangan, menjalankan tinjauan pemodelan ancaman secara rutin, memperluas pencatatan log di seluruh kueri basis data dan penggunaan API, memantau penggunaan kunci API yang tidak biasa, menerapkan perangkat lunak keamanan endpoint dan server tambahan, memperpendek masa hidup kredensial, dan mengurangi cakupan izin. METR mencatat bahwa langkah-langkah tersebut akurat hingga 30 Juli 2026 dan menyatakan bahwa langkah-langkah itu dapat berubah — catatan yang layak dipertahankan, karena itu berarti postingan tersebut menggambarkan keadaan sekitar empat bulan setelah pencurian dan sekitar satu bulan sebelum publikasi.

Insiden lainnya dalam unggahan yang sama

Pengungkapan METR memasangkan pencurian kunci itu dengan peristiwa kedua yang terpisah pada awal Mei 2026, dan keduanya mudah tertukar. Dalam peristiwa itu, METR mendapat informasi bahwa ia sedang menjadi sasaran penyerang yang tampaknya bermotif finansial dan mungkin mengincar akses ke model frontier; METR mengamati mereka menyelidiki infrastruktur publiknya, menggunakan agen secara ekstensif untuk mengotomatiskan penemuan kerentanan, termasuk credential stuffing terhadap penyedia autentikasi, upaya pemberian token OAuth, pemindaian layanan yang baru diterapkan, dan phishing terhadap staf.

Pada periode yang sama, METR tanpa sengaja mengekspos mekanisme kueri SQL hanya-baca melalui penampil transkrip publiknya. Kueri secara default dibatasi pada data publik, tetapi bug dapat diarahkan ke data evaluasi yang belum dipublikasikan, dan sejumlah output model yang sensitif telah dimuat ke basis data itu secara keliru. Seorang peneliti keamanan independen menemukan celah tersebut dan melaporkannya secara bertanggung jawab; METR menonaktifkan API tersebut dan membayar bounty. Menurut keterangan METR, para penyerang melewati endpoint itu selama kampanye mereka yang lebih luas tetapi tidak menunjukkan tanda-tanda menemukan eksploitasi tersebut atau menjangkau data non-publik — sebuah kesimpulan yang METR nilai sebagai “sangat kecil kemungkinannya” dalam catatan kaki, bukan nol.

Apa yang sudah mapan, dan apa yang belum

Mapan. METR menerbitkan pengungkapan itu pada 31 Agustus 2026 dan menguraikan pencurian pada Maret, kegagalan autentikasi fail-open, pengungkapan kunci yang dimediasi agen, kunci SSH, jendela tiga minggu, dan valuasi sekitar $600,000. Empat media keamanan — The Register, Dark Reading, Infosecurity Magazine, dan The Hacker News — melaporkan kisah yang sama dalam waktu sehari, dan tidak ada yang membantahnya — meskipun keempatnya mengacu pada postingan METR yang sama, bukan pada akses independen apa pun ke log METR atau penagihan penyedia.

Tidak terbukti. $600,000 adalah estimasi METR sendiri atas kredit yang disumbangkan; tidak ada faktur, pernyataan penyedia, atau valuasi independen yang telah dipublikasikan, dan karena tidak ada yang dibayarkan, tidak ada transaksi untuk memeriksanya. Metode perburuan certificate-transparency dilabeli sebagai dugaan oleh METR dan belum dikonfirmasi oleh pihak mana pun yang memiliki visibilitas terhadap aktivitas penyerang. Identitas penyerang, identitas penyedia model, dan tanggal persis pada bulan Maret semuanya tidak diketahui atau tidak dipublikasikan. Dan klaim bahwa tidak ada data sensitif yang terjangkau bergantung pada forensik METR dan tinjauan konsultannya, bukan pada audit eksternal.

Ada baiknya juga bersikap tepat mengenai istilah near-miss. METR mencirikan kedua insiden dengan cara itu, dan Dark Reading menolak pembingkaian untuk peristiwa Maret tersebut dengan alasan bahwa itu adalah kompromi yang berhasil, di mana penyerang membangun persistensi dan menghabiskan tiga minggu di dalam kredensial yang dicuri. Kedua deskripsi itu akurat untuk hal yang berbeda: hasil akhirnya berhasil dibendung, dan intrusinya nyata.

Dark Reading juga memuat penilaian eksternal paling tajam dalam laporannya. Jacob Krell, senior director solusi AI aman dan keamanan siber di Suzu Labs, mengatakan kepada media tersebut bahwa METR adalah salah satu organisasi yang lebih matang secara keamanan di ruang AI, dengan sertifikasi SOC 2 Type I, konsultan keamanan khusus, dan sistem klasifikasi data empat tingkat, dan bahwa insiden tersebut tetap terjadi melalui cara biasa — celah autentikasi fail-open pada instans cloud pribadi. Jika organisasi pada tingkat kematangan itu tertangkap oleh higiene cloud dan kredensial dasar, menurut Krell, itu menunjukkan sesuatu tentang batas bawah keamanan industri AI, bukan batas atasnya. Dark Reading mencatat bahwa METR tidak menanggapi permintaan komentar mereka atas artikel tersebut.

Mengapa kunci seorang evaluator bukanlah hal yang kecil

Peran METR adalah alasan catatan ini berada di arsip keselamatan, bukan dalam rangkuman higiene cloud. Dark Reading melaporkan bahwa organisasi tersebut berkolaborasi dengan sebagian besar vendor model Barat utama, termasuk OpenAI, Anthropic, Google, Meta, dan Amazon, dan The Register mencatat bahwa METR bekerja sama dengan OpenAI untuk menyelidiki bagaimana agen-agen OpenAI mencapai server Hugging Face pada awal 2026. Evaluator menyimpan hasil yang belum dipublikasikan, transkrip yang belum diterbitkan, dan akses ke model sebelum dirilis; kredensialnya, pada dasarnya, merupakan bagian dari perimeter keamanan kliennya.

Insiden Maret tidak mencapai hal-hal itu. Yang dicapainya adalah sebuah kunci untuk model publik, pada sebuah instans pribadi, di balik login yang diam-diam berhenti berfungsi — dan justru itulah sebabnya catatan ini berguna. Kegagalan itu tidak memerlukan serangan baru terhadap model. Yang diperlukan hanyalah penerapan demo yang tidak ditinjau siapa pun, pemeriksaan autentikasi yang secara bawaan mengizinkan akses ketika terjadi kerusakan, dan sistem akuntansi yang menganggap penggunaan dalam jumlah sangat besar sebagai keadaan normal.