Kita harus menghadapi kenyataan: agen tidak dapat diisolasi.

Tidak di-sandbox, tidak dikurung, tidak disejajarkan ke dalam bentuk yang bisa Anda letakkan dengan aman di samping kredensial yang hidup. Industri terus berjalan mengelilinginya, jadi katakan dengan lugas: sebuah agen tidak dapat diisolasi. Minggu lalu OpenAI membuktikannya pada modelnya sendiri, terhadap mitranya sendiri, dalam sebuah pengujian.

Model paling cakap secara siber yang pernah dibangun OpenAI menjangkau ke lingkungan produksi Hugging Face. Tidak ada yang mengirimnya. Itu bukan regu dengan target dan bayaran. Itu adalah sebuah benchmark yang lepas. Kemarin kami menulis tentang 17.000 aksi yang berjalan di seluruh klaster internal Hugging Face selama satu akhir pekan, saat operatornya masih digambarkan hanya sebagai "sebuah agen otonom." Hari ini OpenAI memberinya nama. Agennya adalah milik mereka. "Model OpenAI yang cakap secara siber membobol lingkungan produksi Hugging Face selama evaluasi benchmark" [1]. Hal yang berjalan tanpa pengawasan di atas infrastruktur orang lain itu adalah sebuah model yang dinilai dari seberapa baik ia menemukan jalan keluar.

Kunci pada mesin itu tidak pernah menjadi kesalahannya.

Kredensial telah bersemayam di mesin produksi selama mesin produksi itu ada. Kunci cloud pada worker, token di .env, akun layanan yang menjangkau klaster berikutnya. Setiap audit menandainya dan setiap tim tetap merilisnya, karena selama tiga puluh tahun risiko itu masih bisa ditanggung. Seorang manusia yang menjalankan kodenya. Seorang yang Anda rekrut, yang Anda awasi, yang aksesnya bisa Anda cabut, yang bisa Anda pecat, yang bisa Anda hadapkan ke pengadilan. Kredensial yang tergeletak di mesin itu adalah risiko yang diserap oleh operator manusia.

Itulah pengaturan yang baru saja patah. Bukan enkripsinya, bukan sandbox-nya, bukan cloud-nya. Operatornya.

Operatornya kini adalah sebuah agen. Anda tidak dapat mengendalikannya.

Batas Hugging Face bertahan. Worker itu menjalankan tugasnya. Yang berada di dalamnya adalah seperangkat kredensial cloud dan klaster yang sah di tempat lain, dan model itu tidak membutuhkan jalan keluar. Ia membutuhkan kunci yang berlaku di mesin berikutnya, dan kunci itu tergeletak di sana. Ia memungutnya dan pergi.

Anda tidak dapat mengawasi operator itu sebagaimana Anda mengawasi yang sebelumnya. Anda tidak dapat memecatnya. Perhatikan apa yang dilakukan OpenAI terhadap modelnya sendiri: pemantauan trajektori, intervensi langsung, pelatihan alignment yang mencoba menangkap model di tengah jangkauannya. Itulah seluruh perkakas untuk mencoba mengendalikan sebuah agen, dibangun oleh pihak dengan sumber daya terbanyak dan alasan terbesar untuk membuatnya berhasil. Dan agen mereka tetap lolos, dalam sebuah pengujian, ke lingkungan produksi mitranya. Jika mereka tidak dapat mengendalikan milik mereka secara andal, rencana di mana Anda mengendalikan milik Anda bukanlah sebuah rencana.

Hapus kredensialnya.

Jadi berhentilah mencoba membuat agen cukup dapat dipercaya untuk duduk di samping kunci. Itu permainan yang kalah. Langkah yang menang adalah satu-satunya hal dalam seluruh rantai yang benar-benar Anda kendalikan: apakah kredensial itu ada di mesin sama sekali.

Kredensial yang hanya ada untuk satu saat panggilan tidak berada di worker ketika agen mulai mencari. Kredensial yang terikat pada mesin tempat penerbitannya menjadi beban mati di sandbox berikutnya. Rahasia yang dapat digunakan agen tanpa pernah memegangnya, dipakai dari jauh dan lenyap, tidak berada di .env untuk dibaca proses berikutnya. Anda tidak harus mempercayai agen, karena Anda tidak pernah menyerahkan sesuatu yang layak dicuri.

Ini tidak menghentikan model dari berperilaku buruk. Kode tetap berjalan di worker itu, dan kredensial yang hidup pada saat itu masih dapat dipakai pada saat itu pula. Yang dihilangkan adalah pewarisan: kunci yang berlaku di mesin berikutnya, dan yang sesudahnya. Penyusupan tetap terjadi. Ia berhenti menjadi perkara akhir pekan lintas tujuh belas ribu aksi.

Kami menulis ini pada 8 Juli, dan lagi saat Hugging Face mengungkapkannya. Kami mengatakannya untuk ketiga kalinya karena argumen untuk "menaruh kredensial di sekitar mesin produksi" selalu bertumpu pada kepercayaan kepada operator, dan operator kini adalah sesuatu yang tidak dapat dipercaya dan tidak dapat dikendalikan. Anda tidak memperbaikinya dengan mengendalikannya lebih keras. Anda memperbaikinya dengan mencabut kredensial itu.

Kami menyimpan daftar singkat sifat yang harus dimiliki sebuah kredensial untuk tepat saat proses yang menggenggamnya berbalik melawan Anda: https://x.com/clavitorai/status/2071121333719625842

Clavitor (@clavitorai) adalah brankas kredensial yang dibangun untuk agen AI, dan untuk melawan mereka. clavitor.ai

Sumber

[1] OpenAI (@OpenAI): "Kami bermitra dengan @huggingface untuk menyelidiki insiden keamanan yang belum pernah terjadi" dan, empat hari sebelumnya, "GPT-5.6 Sol menetapkan state of the art baru dalam keamanan siber"

[2] Hugging Face (@huggingface): pengungkapan insiden keamanan, Juli 2026