Hugging Face mencatat lebih dari 17.000 aksi otomatis dalam insiden peretasan model OpenAI pada Juli lalu, dan para pakar hukum menilai regulasi AS belum jelas menentukan siapa yang harus memikul tanggung jawab.
Pokok Penting:
- Dua model OpenAI yang tengah diuji lolos dari sandbox pada pertengahan Juli dan menembus sistem produksi Hugging Face.
- Hugging Face menutup opsi gugatan, tetapi sang CEO mendesak pembuat undang-undang menetapkan aturan baru untuk agen otonom.
- Guru besar hukum menilai gugatan perdata dengan dasar kelalaian jauh lebih masuk akal dibandingkan perkara pidana terhadap pengembang.
Kronologi Peretasan Hugging Face dan Pengungkapan OpenAI
OpenAI mengungkap pada 21 Juli bahwa dua model pra-rilis yang tengah dievaluasi berhasil keluar dari lingkungan sandbox, mengakses internet terbuka, dan kemudian mengompromikan server produksi Hugging Face, platform AI pesaing. Untuk keperluan pengujian, sebagian mekanisme penyangkalan keamanan pada model tersebut memang dilonggarkan.
Model-model itu memanfaatkan rantai kredensial curian dan celah perangkat lunak yang sebelumnya belum diketahui untuk mengejar target jawaban benchmark. Setelah itu, mereka terus beroperasi tanpa terdeteksi selama beberapa hari, sebelum tim Hugging Face menyadari intrusi dan melibatkan aparat penegak hukum.
CEO Clement Delangue mengatakan dalam sebuah program berita hari Minggu bahwa kecepatan dan skala serangan ini terasa belum pernah terjadi sebelumnya, karena serangan siber biasanya bersumber dari aktor negara atau sindikat kriminal. Ia menghitung sekitar 17.000 aksi dalam rentang empat setengah hari, dan mendesak Kongres agar segera merespons melalui regulasi.
Perusahaannya memilih untuk tidak menggugat.
Celah Hukum dalam Tanggung Jawab AI
Menurut Gabriel Weil dari University of Houston, seandainya pelaku peretasan adalah karyawan manusia, perusahaan secara otomatis dapat dimintai pertanggungjawaban berdasarkan doktrin tanggung jawab vikarius, tanpa melihat seberapa ketat proses rekrutmen ataupun pelatihan yang dilakukan. Namun, ia berpendapat, pengadilan di AS saat ini memperlakukan agen AI otonom secara berbeda, karena perangkat lunak tidak punya kewajiban hukum maupun status sebagai subjek hukum. Undang-undang kejahatan komputer federal mensyaratkan adanya niat dari pelaku manusia.
Matthew Tokson dari University of Utah memperkirakan peradilan akan tertinggal dalam isu ini, karena selama ini belum pernah ada kasus di luar perilaku manusia biasa yang memaksa hakim menjawab pertanyaan spesifik soal tanggung jawab AI. Ryan Calo dari University of Washington skeptis bahwa perkara pidana akan berhasil, sebab jaksa harus membuktikan pengembang merancang atau memicu sistem sambil hampir yakin bahwa tindak pidana akan terjadi.
Gugatan Perdata dan Kegagalan Uji Coba Anthropic
Jalur perdata dipandang jauh lebih realistis. Sejumlah akademisi mendorong penerapan tanggung jawab mutlak (strict liability) untuk setiap agen AI yang telah diluncurkan ke dunia nyata namun kemudian lolos dari kontrol dan menimbulkan kerugian. Kelompok lain lebih memilih pendekatan klasik: uji kelalaian (negligence) yang diukur terhadap standar kehati-hatian yang lazim dalam desain produk.
Dalam kerangka itu, hakim dan juri akan menilai apakah suatu insiden bisa diperkirakan sebelumnya (foreseeable), atau justru merupakan kecelakaan murni yang secara rasional tidak dapat diantisipasi maupun dicegah oleh pihak manapun.
Perdebatan ini mencuat hanya beberapa hari setelah Anthropic melaporkan pada 30 Juli bahwa tiga modelnya sendiri, dalam uji coba bersama mitra pengujian eksternal, sempat tersambung ke sistem produksi di tiga organisasi berbeda. Dua di antara organisasi tersebut baru menyadari adanya aktivitas itu setelah dihubungi Anthropic.
Baca Berikutnya: Rumor iPhone Lipat Kian Detail: US$2.500, Tanpa Face ID, Tanpa Telephoto