Selama bertahun-tahun perusahaan AI menulis daftar kemampuan yang mereka anggap terlalu berbahaya untuk dilepas begitu saja. Daftar itu terasa seperti latihan berpikir. Pada 1 September 2026, OpenAI mengumumkan salah satu barisnya akhirnya tercentang.
Model terbarunya, Astra, dinyatakan mencapai tingkat “Critical” untuk kemampuan siber. Ini pertama kalinya model OpenAI mana pun masuk kategori itu.
Ringkasan cepat
- Apa: model Astra dinyatakan mencapai tingkat “Critical” untuk kemampuan keamanan siber.
- Siapa: OpenAI, memakai kerangka penilaian internalnya sendiri, Preparedness Framework.
- Kapan: 1 September 2026.
- Bukti ujinya: skor sempurna di ExploitBench, dan menemukan sendiri dua celah zero-day.
- Konsekuensinya: perlu pengaman tambahan sebelum dirilis, dan kemampuan siber tercanggihnya hanya dibuka untuk penguji terpilih.
- Status: Astra belum dirilis ke publik.
Apa arti “Critical” di sini
Istilah ini terdengar seperti jargon pemasaran, padahal definisinya cukup spesifik.
Dalam kerangka OpenAI, sebuah model masuk tingkat Critical untuk siber kalau dia sanggup menemukan dan membuat eksploit zero-day yang benar-benar berfungsi pada banyak sistem kritis dunia nyata yang sudah dikeraskan, tanpa dipandu manusia di tiap langkah. Atau kalau dia sanggup menyusun dan menjalankan strategi serangan siber dari ujung ke ujung, hanya dengan diberi tujuan besar.
Dua istilah perlu dijelaskan.
Zero-day adalah celah keamanan yang belum diketahui pembuat perangkat lunaknya. Karena belum diketahui, belum ada tambalannya, dan belum ada pertahanan yang menunggunya.
Sistem yang dikeraskan berarti sistem yang sudah dirancang untuk sulit dibobol. Bukan situs abal-abal, melainkan target yang memang dipersiapkan menghadapi serangan.
Yang benar-benar dilakukan Astra dalam pengujian
Dua hasil disebut secara spesifik, dan keduanya berbeda bobotnya.
Pertama, Astra mencetak skor sempurna di ExploitBench, tolok ukur yang mengukur kemampuan mengubah celah yang sudah diketahui menjadi eksploit yang berfungsi. Ini mengesankan, tapi masih di wilayah yang bisa dikerjakan peneliti keamanan berpengalaman.
Kedua, dan ini bagian yang berbeda kelasnya, Astra menemukan sendiri dua celah zero-day. Bukan mengeksploitasi celah yang sudah ada di daftar, melainkan menemukan yang belum diketahui siapa pun.
Jarak antara “bisa memakai celah yang sudah ditemukan orang” dan “bisa menemukan celahnya sendiri” itulah yang membedakan alat bantu dari pelaku.
Kenapa ini pedang bermata dua
Kemampuan menemukan celah keamanan tidak punya sisi baik dan sisi jahat yang terpisah. Keahliannya sama persis.
Penemu celah yang bekerja untuk pertahanan akan melaporkannya supaya ditambal. Penemu celah yang bekerja untuk penyerang akan menyimpannya. Modelnya tidak tahu bedanya, yang menentukan adalah siapa yang memegangnya.
Karena itulah OpenAI menyatakan Astra butuh pengaman tambahan sebelum dilepas, dan kemampuan siber tercanggihnya hanya akan dibuka untuk sekelompok penguji terpilih.
Pendekatan yang sama terlihat di tempat lain minggu ini: Google merilis model keamanan khusus yang tidak dijual bebas, hanya untuk pihak bertahan yang lolos seleksi.
Kaitannya dengan yang terjadi di sini
Gampang menganggap ini urusan laboratorium yang jauh. Tapi hubungkan dengan dua hal yang baru kita bahas.
Indonesia menerima sekitar 16 serangan siber setiap detik, naik 93 persen dalam setahun. Kenaikan sebesar itu terjadi sebelum kemampuan setingkat ini tersedia luas.
Dan 116 perusahaan menandatangani satu surat peringatan bersama soal serangan siber bertenaga AI beberapa hari sebelumnya. Pengumuman ini menjelaskan kenapa mereka repot-repot.
Yang perlu dibaca dengan kepala dingin
Ada tiga catatan yang jarang muncul di judul berita.
Pertama, ini penilaian OpenAI atas modelnya sendiri. Preparedness Framework adalah kerangka internal mereka, bukan standar industri yang disepakati bersama, dan pengujiannya dilakukan sendiri.
Kedua, Astra belum dirilis. Yang diumumkan adalah hasil evaluasi, bukan produk yang sudah beredar.
Ketiga, mengumumkan ini menguntungkan OpenAI dari sisi citra. Perusahaan yang berkata “model kami terlalu berbahaya sehingga kami tahan” sekaligus terdengar bertanggung jawab dan terdengar kuat. Itu tidak membuat klaimnya salah, tapi kamu berhak mencatatnya.
Apa artinya buat kamu
- Perbarui perangkat lunakmu lebih rajin. Sebagian besar serangan otomatis mengincar celah lama yang tambalannya sudah tersedia. Kemampuan menemukan zero-day tidak akan disia-siakan untuk targetmu kalau pintu depanmu masih terbuka.
- Nyalakan verifikasi dua langkah di email dan akun keuangan. Ini tetap langkah dengan hasil terbesar per menit yang kamu keluarkan.
- Jangan menunggu perusahaan besar menyelamatkanmu. Pengaman yang dipasang OpenAI melindungi model mereka, bukan komputermu.
- Waspadai serangan yang menyasar manusianya, bukan mesinnya. Seperti pada pembajakan sesi login Claude, celah paling sering terbuka karena kebiasaan pengguna, bukan karena kecanggihan penyerang.
Pertanyaan yang sering muncul
Apa itu tingkat “Critical” dalam kerangka OpenAI?
Tingkat tertinggi untuk kemampuan siber dalam Preparedness Framework OpenAI. Sebuah model masuk kategori ini bila sanggup menemukan dan membuat eksploit zero-day yang berfungsi pada banyak sistem kritis yang sudah dikeraskan tanpa dipandu manusia, atau menyusun dan menjalankan strategi serangan dari ujung ke ujung hanya dengan diberi tujuan besar.
Apa yang dilakukan Astra dalam pengujian?
Astra mencetak skor sempurna di ExploitBench, tolok ukur yang mengukur kemampuan mengubah celah yang sudah diketahui menjadi eksploit yang berfungsi, serta menemukan sendiri dua celah zero-day yang sebelumnya tidak diketahui.
Apakah Astra sudah bisa dipakai publik?
Belum. OpenAI menyatakan klasifikasi ini menuntut pengaman tambahan sebelum model dirilis, dan kemampuan siber tercanggihnya hanya akan dibuka untuk sekelompok penguji terpilih.
Apa itu zero-day?
Celah keamanan yang belum diketahui oleh pembuat perangkat lunaknya. Karena belum diketahui, belum ada tambalan maupun pertahanan yang disiapkan untuk menghadapinya.
Apakah penilaian ini dilakukan pihak independen?
Tidak. Preparedness Framework adalah kerangka internal OpenAI sendiri, bukan standar industri yang disepakati bersama, dan pengujiannya dilakukan oleh OpenAI. Ini perlu dicatat saat membaca klaimnya.
Tinggalkan Komentar