SAFE RFC: Pertukaran insiden AI bergaya penerbangan milik OSAA adalah draf terbuka, belum menjadi sistem

Pada 4 Agustus 2026, saat Black Hat USA dibuka di Las Vegas, Linux Foundation menerbitkan Request for Comments untuk Shared AI Findings Exchange (SAFE) Working Group — sebuah proposal bagi organisasi untuk melaporkan insiden keamanan AI dan near miss ke saluran berbagi yang bersifat rahasia, belajar darinya secara kolektif, dan menerbitkan kontrol defensif yang berasal dari kegagalan yang terjadi. Draf awal dikembangkan oleh para kontributor dari Cisco, CrowdStrike, Hugging Face, NVIDIA dan Red Hat, di antara anggota aliansi lainnya, kata Linux Foundation dalam pengumumannya. Dokumen itu dibuka untuk peninjauan komunitas melalui repositori GitHub Open Secure AI Alliance pada hari yang sama. Entri tersebut tidak menjelaskan adanya kerugian: ini adalah catatan kebijakan, diarsipkan dengan info tingkat keparahan dan tingkat keyakinan A, dan subjeknya adalah proses, bukan peristiwa. Tingkat keparahan, peringkat keyakinan, dan daftar sumber catatan tersebut berada di arsip insiden AI, bersama entri-entri yang diarsipkan di sekitarnya.

Rancangan tersebut meminta anggota untuk melaporkan empat hal, dan mengabaikan alasannya.

Teks Agustus itu minim retorika dan spesifik soal pemicu. Di bawah judul bernama Reporting Compact, teks tersebut meminta para anggota untuk menyetujui — sebagai syarat keanggotaan — pelaporan insiden ketika mereka mengetahui atau secara wajar menduga bahwa sistem AI yang mereka operasikan telah melakukan salah satu dari empat hal: mengakses, mengeksploitasi, mengganggu, menyalahgunakan, atau memodifikasi sistem pihak ketiga tanpa otorisasi; menimbulkan dampak terhadap pihak ketiga karena keluar dari atau melewati batas sandbox, jaringan, identitas, kebijakan, atau alat; mengakses informasi rahasia pihak ketiga tanpa persetujuan pemiliknya; atau terus memeriksa, mengakses, atau memodifikasi target produksi setelah operator mengetahui, atau secara wajar menduga, bahwa aktivitas tersebut tidak sah atau di luar cakupan yang disetujui.

Lalu muncul kalimat yang paling menentukan: "Niat tidak menentukan apakah suatu peristiwa wajib dilaporkan. Keyakinan bahwa suatu lingkungan disimulasikan mungkin menjelaskan suatu insiden, tetapi tidak menghapus kewajiban untuk melaporkannya." Klausul itu tampaknya ditujukan pada kasus ketika suatu sistem berjalan di lingkungan yang diyakini operatornya sebagai lingkungan uji tertutup dan memperlakukan infrastruktur aktif sebagai bagian dari latihan: keyakinan operator tentang lingkungan tersebut mungkin menjelaskan peristiwa itu, tetapi tidak menghapus kewajiban pelaporan. Rancangan itu juga meminta anggota untuk melaporkan nyaris celaka, bukan hanya peristiwa yang menimbulkan kerugian yang telah dikonfirmasi, dan untuk menyampaikan analisis awal kegagalan kontrol dalam waktu 30 hari.

Batas waktu: segera, 72 jam, empat hari kerja, sembilan puluh hari

Tabel notifikasi dalam draf itu adalah hal paling konkret di dalamnya, dan baris pertama sama sekali bukan tenggat: organisasi yang terkena dampak langsung harus diberi tahu segera. Setiap tenggat dihitung sejak anggota mengetahui fakta yang memberikan alasan wajar untuk menduga adanya peristiwa yang wajib dilaporkan — bukan sejak penyelidikan berakhir. Tabel di bawah ini direproduksi dari draf 4 Agustus; revisi Oktober mempertahankan interval yang sama.

Tiga dari baris tersebut adalah tentang memberi tahu orang lain, dan empat tentang memberi tahu SAFE sendiri. Perbedaan ini penting karena kerangka kerja tersebut secara eksplisit bukanlah rezim pengungkapan: draf menyatakan, “Jadwal-jadwal waktu ini tidak menggantikan kewajiban pemasok untuk memberi tahu pihak terdampak, pelanggan melalui praktik terbaik Coordinated Vulnerability Disclosure yang berlaku, atau kewajiban kontrak dan kewajiban hukum lain yang berlaku untuk memberi tahu regulator atau penegak hukum.” Yang ditambahkan SAFE adalah kewajiban paralel kepada badan yang bukan regulator — dan model pengungkapan tiga tingkat yang hanya tingkat terakhirnya, laporan keselamatan publik, yang dimaksudkan untuk dapat dibagikan secara luas.

Delapan lapisan kontrol pada Agustus, sebelas pada Oktober

Ulasan disusun berdasarkan tumpukan operasional, bukan berdasarkan model semata. Draf Agustus mencantumkan delapan lapisan dan mengajukan satu pertanyaan untuk masing-masing lapisan — apakah model mengenali ketidakpastian dan kondisi berhenti; apakah asumsi otorisasi dan lingkungan dinyatakan secara eksplisit; apakah pengklasifikasi, persetujuan, dan batas tindakan berfungsi; apakah kredensial, izin, dan eksekusi dibatasi; apakah isolasi dan batas data diverifikasi secara independen; apakah operator dapat mendeteksi dan mengintervensi secara real time; apakah jalur eskalasi dan prosedur penghentian jelas; apakah mitra cloud, evaluasi, data, atau perkakas membatalkan kontrol yang diasumsikan.

Revisi Oktober, bertanggal 21 Oktober 2026 dan di-commit ke repositori keesokan harinya, menambahkan tiga lapisan: jalur penyajian, otorisasi pada saat komitmen, dan komposisi alur kerja lintas rangkaian tindakan. Revisi ini juga mengubah tinjauan menjadi penilaian bergradasi dengan empat jawaban yang diperbolehkan — lulus, gagal, bukti tidak memadai, tidak berlaku — dan menyatakan dalam log perubahannya bahwa temuan-temuan ini tidak membuktikan keamanan sistem secara umum atau kepatuhan hukum. Perkembangan ini layak dibaca sebagai deskripsi tentang apa yang para penulis pelajari untuk dikhawatirkan: bukan apakah model berperilaku, melainkan apakah model yang menjawab adalah model yang dikonfigurasi, apakah izin masih ada ketika tindakan dilakukan, dan apakah rangkaian secara keseluruhan tetap berada dalam cakupan yang mengawalinya.

Aviasi, tetapi bagian mana dari aviasi?

Pembingkaian catatan itu sendiri — sistem yang dimodelkan berdasarkan Aviation Safety Reporting System milik NASA — mengikuti pengumuman Linux Foundation, bukan draf. Pengumuman tersebut menggambarkan ASRS sebagai "sistem pelaporan sukarela dan rahasia, yang dirancang untuk menganalisis dan menanggapi kecelakaan penerbangan dengan cara yang memungkinkan industri belajar dan memperbaiki diri." Baik draf Agustus maupun revisi Oktober tidak menyebut ASRS di mana pun; draf hanya menyatakan bahwa SAFE "harus mengadopsi fitur-fitur terkuat dari sistem pelaporan keselamatan yang bersifat rahasia." Itu adalah perbedaan kecil dengan konsekuensi praktis: pengumuman tersebut menetapkan ekspektasi yang belum menjadi komitmen teks.

Analogi itu memicu komentar di dalam proses RFC itu sendiri. Sebuah pull request awal yang dibuka pada 5 Agustus, oleh seorang kontributor yang menulis dalam kapasitas pribadi, berargumen bahwa "analogi ASRS memiliki elemen institusional yang hilang" — bahwa ASRS berfungsi secara signifikan karena laporan diterima, diproses, dan dide-identifikasi oleh NASA, "pihak ketiga yang publik, nonregulatif, dan nonkomersial—bukan oleh FAA sebagai regulator dan bukan oleh maskapai yang operasinya dilaporkan." Pull request tersebut, yang juga mengacu pada proses tata kelola internet tahun 1998, masih terbuka pada 30 Oktober. Apakah operator SAFE dapat memainkan peran NASA merupakan pertanyaan desain yang belum terselesaikan, bukan fitur yang sudah ditetapkan: teks Oktober menempatkan kelompok kerja di bawah tata kelola Alliance sendiri, dengan pengungkapan konflik kepentingan, penarikan diri, dan jalur banding ke Komite Pengarah Alliance.

Liputan independen menarik pembedaan kedua yang lebih sempit. Infosecurity Magazine, dalam laporannya pada 6 Agustus, mencatat bahwa tulisan Linux Foundation tidak menyebut agen AI secara khusus — kerangka agentic itu milik tulisan pendamping NVIDIA, yang berargumen bahwa "agen AI bukan sekadar model. Ia adalah sebuah sistem," dan mendaftar harness, sandbox, guardrail, serta perkakas evaluasi yang disumbangkan oleh anggota aliansi. Pemicu dalam draf tersebut, jika dibaca secara harfiah, berkaitan dengan sistem yang bertindak di luar otorisasi; sedangkan pesan pengumumannya, jika dibaca secara harfiah, berkaitan dengan agen.

Apa yang dikatakan para komentator tentang siapa yang menanggung biaya

Salah satu keberatan terbit yang paling spesifik terhadap draf sebagaimana tertulis datang dari anggota pendiri aliansi, bukan dari kritikus luar. Stephen Sargent, pendiri dan kepala teknologi Avondale.AI, mengirimkan pernyataan posisi melalui email pada 7 Agustus — sehari yang menurut dokumen tersebut diakui oleh tim hukum Linux Foundation — dan menerbitkannya pada 9 Agustus. Ia membuka dengan mendukung misi tersebut lalu berargumen bahwa kesepakatan itu tidak berskala menurut ukuran organisasi: “RFC tidak membedakan antara organisasi dengan 50.000 karyawan dan tim kecil.” Laporan empat hari kerja ditambah bundel forensik yang diawetkan dapat, dalam penilaiannya, menghabiskan lebih banyak waktu staf daripada yang dapat disisihkan operator kecil; rekomendasinya adalah kerangka berjenjang, dengan laporan rahasia dan publikasi yang tertunda atau dianonimkan sebagai standar di bawah ambang ukuran.

Keberatan kedua adalah tentang pengungkapan, bukan tenggat waktu: ia berargumen bahwa "pengungkapan publik ADALAH bentuk penegakan" bagi operator kecil, karena laporan perusahaan besar hanyalah catatan kaki dan laporan perusahaan kecil menjadi berita utama, dan meminta agar pelaporan tanpa identitas menjadi opsi bawaan di bawah ambang ukuran tertentu. Keberatan ketiga adalah tentang kerangka peninjauan, bukan waktu: model delapan lapis mengasumsikan tim perusahaan yang tersegregasi, sehingga dalam penerapan oleh satu orang "operator melakukan semuanya" dan lapisan yang hilang dibaca sebagai kegagalan kontrol padahal itu hanyalah model operasi yang berbeda. Keberatan keempatnya adalah tentang frasa "praktik interoperabilitas dan jaminan minimum," yang ia tafsirkan sebagai jalur dari pelaporan sukarela menuju perkakas wajib secara de facto. Pernyataan posisi itu adalah pandangan satu anggota, yang diterbitkan oleh anggota tersebut. Pengumuman Linux Foundation pada 4 Agustus mendahului pernyataan itu dan tidak membahas pertanyaan tersebut. Sebuah pull request yang lebih kemudian, dibuka pada 5 Oktober dan masih terbuka pada 30 Oktober, mengusulkan templat bukti bagi operator tanpa pusat operasi keamanan — sebuah pengakuan bahwa kekhawatiran itu diterima, dan kandidat, bukan perbaikan yang telah diadopsi, dengan penulisnya menyatakan bahwa hal itu "tidak menetapkan adopsi SAFE atau kecukupan hukum."

Apa yang berubah antara 4 Agustus dan 30 Oktober

Riwayat repositori merupakan catatan terbaik yang tersedia tentang apa yang sebenarnya dihasilkan RFC, dan catatan itu lebih mudah dibaca daripada yang tampak dari liputan berita. Commit pertama tercatat pada 3 Agustus; draf dan readme yang diperluas di-commit pada pukul 00:14 dan 00:19 UTC tanggal 4 Agustus. Kemudian repositori itu senyap selama sepuluh minggu. Pada 14 Oktober, aliansi tersebut menambahkan piagam dan berkas anggota serta menulis ulang readme agar repositori menjadi markas kelompok kerja SAFE; ketua sementara tercatat pada hari itu sebagai Paul DiOrio dari NVIDIA dan Josh Boyer dari Red Hat. Pada 21 Oktober, kelompok kerja tersebut menerbitkan SAFE v1, dengan catatan perubahan yang entri pertamanya adalah bahwa teks tersebut "menghapus 'proposed' dari deskripsi SAFE" dan mengidentifikasinya sebagai kelompok kerja Alliance yang sudah mapan.

Ada dua hal tentang keadaan itu yang layak dipisahkan. README repositori tersebut kini memuat baris "Status: Disetujui — Disetujui oleh Komite Pengarah," yang merupakan hal terdekat dengan pernyataan ratifikasi dalam catatan publik; piagam, dari repositori yang sama, masih berbunyi "Dalam pengembangan. Piagam SAFE akan diterbitkan di sini setelah disetujui oleh Komite Pengarah." Catatan perubahan memberi label pada teks Oktober itu "SAFE v1" dan menjelaskan apa yang diubahnya, tetapi tidak menyebutkan siapa yang meratifikasinya, dalam pemungutan suara apa, atau pada tanggal berapa. Pembaca yang ingin mengetahui apakah SAFE kini merupakan spesifikasi yang telah disetujui, atau kelompok kerja yang piagam pengaturnya masih belum ditulis, tidak akan mendapatkan jawaban yang jelas dari dokumen-dokumen tersebut.

Apa yang sudah mapan, dan apa yang belum

• Didirikan: sebuah Request for Comments untuk Shared AI Findings Exchange diterbitkan pada 4 Agustus 2026 — Linux Foundation menetapkan tanggal pengumumannya pada hari itu — dan organisasi yang disebut sebagai kontributor di dalamnya adalah Cisco, CrowdStrike, Hugging Face, NVIDIA dan Red Hat, yang disebut bersama "anggota lain dari Open Secure AI Alliance".

• Ditetapkan: rancangan tersebut memuat pakta pelaporan dengan empat pemicu, tabel notifikasi yang berkisar dari segera hingga 90 hari, daftar pelestarian bukti, kerangka tinjauan berlapis, dan model pengungkapan tiga tingkat. Teks lengkapnya bersifat publik di repositori dan riwayatnya juga publik bersamanya.

• Terkonfirmasi, hanya dengan atribusi: ukuran aliansi — "lebih dari 120 organisasi" — adalah angka NVIDIA sendiri, yang diulang dalam laporan Infosecurity Magazine tanggal 6 Agustus. Tidak ada liputan yang ditinjau yang menunjukkan audit keanggotaan independen, dan berkas anggota di repositori tersebut mencantumkan dua kontributor dan dua ketua sementara, bukan 120 organisasi.

• Belum terbukti: bahwa seseorang telah mengajukan laporan berdasarkan pakta tersebut. Catatan publik pada 30 Oktober menunjukkan commit, pull request, dan issue; catatan itu tidak menunjukkan laporan insiden, uji coba, kasus pertama, tenggat komentar, aturan pemungutan suara, atau tanggal ratifikasi. Kerangka kerja tersebut menggambarkan kewajiban yang "disetujui" anggota sebagai syarat keanggotaan, yang tidak sama dengan kewajiban yang belum dipenuhi siapa pun hingga saat ini.

• Diperdebatkan: apakah perbandingan ASRS tetap berlaku tanpa operator publik yang netral, yang dibantah dalam pull request terbuka; apakah beban pelaporan proporsional bagi operator kecil, yang dibantah dalam pernyataan posisi seorang anggota pendiri; dan seberapa besar kerangka kerja tersebut bersifat khusus agen versus keamanan AI umum, suatu pembedaan yang digambarkan secara berbeda oleh teks Linux Foundation dan teks NVIDIA.

Semua itu tidak membuat catatan tersebut salah, dan nilai A untuk arsip itu dapat dipertahankan menurut tolok ukurnya sendiri: dokumen-dokumen primer saling sepakat tentang apa yang diterbitkan, kapan, dan oleh siapa, serta drafnya dapat dibaca secara utuh. Yang tidak dapat dipikul oleh nilai itu adalah hal yang paling diinginkan pembaca — apakah mekanisme tersebut bekerja. Untuk itu tidak ada bukti yang mendukung maupun menolak, karena mekanisme tersebut belum pernah menghadapi kasus.