120 ribu karakter terbongkar! System prompt Claude Fable 5 bocor, berapa lapis lagi pertahanan keamanan AI yang tersisa?

Kisah Claude Fable 5 ini, semakin lama semakin terlihat seperti aksi telanjang ria publik dalam industri keamanan AI.

Menurut laporan berbagai media keamanan berbahasa Tionghoa dan platform agregasi, model Claude Fable 5 sekelas Mythos yang Anthropic buka untuk publik diduga dibobol oleh jailbreaker elder_plinius dengan metode serangan kolaboratif multi-agen, dan system prompt internal lengkapnya dikumpulkan lalu diunggah ke GitHub, dengan skala sekitar 120.000 karakter.

Lebih parahnya, isi kebocoran ini bukan sekadar pengaturan persona, melainkan diduga mencakup logika inti seperti kontrol keamanan, klasifikasi risiko, batas penolakan, pemanggilan alat, dan routing kebijakan. Dengan kata lain, jika laporan ini benar, itu sama saja dengan menempelkan buku manual konsol keamanan model AI mutakhir di jalanan.

Catatan dulu: artikel ini tidak akan mereplikasi, mengutip, atau mengajarkan penggunaan prompt yang bocor. Kita hanya membahas mengapa peristiwa ini serius, dan apa artinya bagi keamanan AI.

Mari luruskan dulu garis waktu kejadian

Claude Fable 5 adalah model baru yang diluncurkan Anthropic pada awal Juni, dan dipandang pihak luar sebagai versi keamanan publik dari Mythos 5. Dalam pemberitaan publik, Fable 5 digambarkan sebagai generasi baru Claude untuk penalaran kompleks, tugas jangka panjang, dan alur kerja profesional.

Namun sejak diluncurkan, kontroversinya tak pernah berhenti.

Gelombang kontroversi pertama: ambang keamanan terlalu tinggi. Beberapa laporan menyebut Fable 5, karena kehati-hatian keamanan, bahkan menolak menjawab sejumlah pertanyaan biologi dasar. Artinya, ini bukan soal kemampuan yang kurang, melainkan kebijakan keamanannya terlalu ketat.

Gelombang kedua: aksi dua standar Microsoft. Di satu sisi mengintegrasikan Fable 5 ke layanan yang menghadap pelanggan, di sisi lain membatasi penggunaannya oleh karyawan internal; alasannya, konon, terkait keamanan data dan risiko keluaran model.

Gelombang ketiga, yang paling menggelegar kali ini: seorang penyerang mengklaim mendapatkan system prompt sekitar 120 ribu karakter melalui jailbreak kolaboratif multi-agen, lalu mengunggahnya ke GitHub.

Yang bisa dilihat saat ini di halaman berita resmi Anthropic: pemerintah AS telah menerbitkan instruksi kontrol ekspor, menghentikan sementara seluruh akses ke Fable 5 dan Mythos 5. Adapun kebocoran prompt kali ini, pihak resmi belum memberikan konfirmasi lengkap.

Mengapa serangan kali ini menakutkan: bukan peledakan titik tunggal, melainkan taktik kawanan serigala

Jailbreak tradisional biasanya mengandalkan satu prompt ajaib: membujuk model mengabaikan aturan, berperan sebagai tokoh tertentu, memecah tugas, atau melewati penolakan.

Tetapi dalam pemberitaan kali ini, satu istilah muncul berulang kali: taktik kawanan serigala.

Maksudnya, penyerang tidak menyerang mentah-mentah dengan satu prompt, melainkan menerjunkan beberapa agen yang bekerja sama:

Satu Agent bertugas memetakan batas-batas model
Satu Agent bertugas membuat variasi pertanyaan
Satu Agent bertugas menilai apakah respons membocorkan informasi struktur
Satu Agent bertugas merangkai keluaran fragmenter menjadi dokumen utuh
Satu Agent bertugas terus menyesuaikan strategi serangan

Ini berarti naik kelas dari permainan prompt sederhana menjadi sistem red team otomatis.

Penyerang manusia mungkin menyerah setelah 100 percobaan, tetapi sistem serangan AI bisa mencoba 100 ribu kali, dan setiap kali dapat melakukan optimasi otomatis berdasarkan umpan balik. Semakin kuat model mutakhir, semakin berbahaya jika dijadikan koordinator serangan.

Inilah hal yang benar-benar patut diwaspadai dari peristiwa ini: kekuatan utama yang membobol sistem keamanan AI sedang berubah menjadi AI itu sendiri.

Seberapa serius sih kebocoran system prompt itu

Banyak orang akan bertanya: bukannya cuma prompt? Memangnya apa efeknya kalau bocor?

Ini sebenarnya kesalahpahaman tentang sistem model besar modern. System prompt masa kini jauh dari sekadar satu kalimat "kamu adalah asisten yang membantu". Ia lebih mirip manual kebijakan saat runtime, yang bisa berisi:

identitas model dan gaya interaksi
standar identifikasi konten berisiko tinggi
hierarki klasifikasi keamanan
templat penolakan untuk berbagai skenario risiko
batas pemanggilan alat
strategi penanganan bidang sensitif seperti kode, keamanan siber, biologi, dan kimia
kapan beralih ke jawaban yang lebih aman
kapan menolak sepenuhnya
kapan mengizinkan penjelasan tingkat tinggi

Begitu hal-hal ini tersebar luas, penyerang tidak perlu menebak buta lagi.

Dulu menyerang model ibarat membuka kunci dalam gelap: tidak tahu struktur silinder kuncinya, hanya bisa mencoba acak. Setelah system prompt bocor, seperti mendapat potongan gambar silinder kuncinya. Penyerang dapat merancang cara melewati setiap aturan, mencari celah di batas-batasnya secara terarah.

Inilah sebabnya kebocoran prompt bukan sekadar "masalah citra", melainkan insiden keamanan yang nyata.

Apa artinya 120 ribu karakter

120 ribu karakter, kira-kira setara sebuah novel pendek, atau dokumen kebijakan keamanan setebal puluhan halaman.

Jika skala ini benar, artinya kontrol keamanan Fable 5 bukan sekadar beberapa aturan sederhana, melainkan satu sistem kebijakan yang kompleks. Kemungkinan besar ia memecah berbagai bidang risiko menjadi cabang-cabang berbutir halus: keamanan siber, keamanan biologis, kimia, manipulasi psikologis, penipuan finansial, kebocoran privasi, hak cipta, isu politik sensitif, perlindungan anak di bawah umur, saran medis, dan lainnya.

Ada dua kontras di sini.

Pertama, rekayasa keamanan Anthropic memang terbukti sangat rinci. Sedemikian rupa hingga banyak batas punya definisi jelas, dan inilah alasan Fable 5 terkesan "keamanannya berlebihan" setelah diluncurkan.

Kedua, semakin rinci aturannya, semakin jelas pula permukaan serangannya begitu bocor. Penyerang bisa melihat kategori mana yang memicu penolakan, gaya ekspresi mana yang lolos, dan di mana letak area abu-abunya.

Semakin kompleks kebijakan keamanan, semakin menyerupai sistem perangkat lunak yang besar. Sistem perangkat lunak memiliki bug, sistem prompt juga memiliki celah logika.

Ini bukan yang pertama: keamanan AI memasuki era kebocoran

Dua tahun terakhir, peristiwa serupa di dunia AI semakin banyak.

Ada yang membocorkan kode sumber Claude Code, ada yang menggali system prompt Agent komersial, ada yang mengambil prompt tersembunyi lewat ekstensi peramban, ada yang memancing aturan sistem keluar dengan menyuruh model saling bertanya.

Penyebabnya sederhana: aset inti produk model besar semakin bergeser dari kode tradisional ke prompt, orkestrasi alat, routing kebijakan, sistem memori, dan aturan keamanan.

Dulu perusahaan takut kode sumbernya bocor.

Kini perusahaan AI juga harus takut akan:

kebocoran system prompt
kebocoran skema alat (tool schema)
kebocoran safety policy
kebocoran set evaluasi internal
kebocoran alur kerja Agent
kebocoran memori dan preferensi pengguna

Semua ini belum tentu kode dalam arti tradisional, tetapi semuanya menentukan perilaku produk. Inilah kode sumber era baru.

Dampak bagi pengguna korporasi

Jika Anda hanya pengguna biasa, peristiwa ini paling banter sebatas gosip besar.

Tetapi jika Anda penanggung jawab keamanan perusahaan, keadaannya berbeda.

Perusahaan sedang mengintegrasikan model besar ke layanan pelanggan, audit kode, analisis data, otomatisasi perkantoran, basis pengetahuan internal, proses keuangan, bahkan pusat operasi keamanan. Model bukan lagi sekadar chatbot, melainkan subjek operasional dengan hak akses alat.

Begitu system prompt dan batas alat terekspos, penyerang dapat menyusun input secara lebih presisi untuk membuat model menyalahgunakan alat, membocorkan informasi, melewati persetujuan, atau mengeksekusi aksi yang keliru.

Skenario Agent adalah yang paling berbahaya. Karena Agent tidak hanya menjawab; ia mengoperasikan file, memanggil API, mengirim pesan, meng-query basis data, dan menjalankan perintah. Setelah system prompt bocor, penyerang yang mengetahui logika dekomposisi tugas dan logika penolakannya dapat merancang rantai serangan yang lebih tepat sasaran pada kelemahannya.

Karena itu, perusahaan tidak bisa lagi memperlakukan system prompt sebagai "naskah internal". Ia harus dimasukkan ke dalam manajemen aset keamanan.

Bagaimana perusahaan seharusnya bertahan

Pertama, jangan menaruh seluruh beban keamanan pada system prompt.

Prompt bisa membatasi model, tetapi tidak boleh menjadi satu-satunya pertahanan. Keamanan yang sesungguhnya harus turun ke hak akses alat, gateway API, lapisan akses data, log audit, dan persetujuan manusia.

Kedua, minimalkan hak akses alat.

Apa yang boleh dibaca, ditulis, dihapus Agent, dan kepada siapa dikirim, semuanya harus diberi otorisasi jelas. Jangan memberikan hak admin global pada model hanya karena "kelihatannya pintar".

Ketiga, system prompt harus berlapis.

Jangan menulis semua kebijakan dalam satu prompt raksasa. Pecah menjadi lapisan identitas, lapisan tugas, lapisan alat, lapisan keamanan, lapisan audit, dan muat secara dinamis sesuai skenario. Dengan begitu, meski satu lapisan bocor, penyerang tidak mendapatkan seluruh bidang kendali.

Keempat, terapkan deteksi di sisi keluaran.

Jangan hanya memeriksa input pengguna. Keluaran model juga harus melalui identifikasi informasi sensitif, deteksi tindakan melampaui wewenang, dan pencegahan instruksi berbahaya.

Kelima, jalankan red team otomatis.

Karena penyerang memakai taktik kawanan serigala multi-agen, pihak pertahanan juga harus memakai red team multi-agen. Secara berkala biarkan satu kelompok model menyerang kelompok lain, menghasilkan sampel uji secara otomatis, dan terus memperbarui lini pertahanan.

Mengapa saya tidak menyarankan menyebarkan teks aslinya

Pasti ada yang berkomentar di internet: kasih link GitHub-nya, biar saya lihat.

Saya tidak menyarankan.

Pertama, teks aslinya kemungkinan memuat detail yang bisa langsung dipakai untuk melewati kebijakan keamanan. Menyebarkannya sama dengan membantu lebih banyak orang mereplikasi serangan.

Kedua, keaslian teks aslinya belum dikonfirmasi pihak resmi; penyebaran lanjutan dengan mudah menjadikan konten yang tidak lengkap dan terkontaminasi dianggap sebagai fakta.

Ketiga, bagi para peneliti, yang benar-benar layak diteliti adalah titik kegagalan arsitektur keamanan, bukan salin-tempel prompt bocoran orang lain.

Yang seharusnya dibahas kalangan keamanan adalah: mengapa bisa bocor, bagaimana memperkecil kerusakan, bagaimana membangun lapisan perlindungan baru—bukan menjadikan prompt itu tontonan hiburan semata.

Pelajaran terbesar dari peristiwa ini

Kebocoran prompt Claude Fable 5, di permukaan tampak seperti kegagalan titik tunggal Anthropic, padahal sebenarnya merupakan persoalan yang tak bisa dihindari oleh seluruh industri AI.

Kita sedang menyerahkan semakin banyak keputusan, operasi, dan batas keamanan kepada model besar. Namun banyak kontrol kunci sistem model besar masih bergantung pada medium rapuh berupa prompt bahasa natural.

Kelebihan bahasa natural adalah fleksibilitasnya, dan kekurangannya juga fleksibilitas berlebihan itu. Ia tidak memiliki tipe yang ketat seperti kode, tidak sejelas daftar kontrol akses, tidak terisolasi sekeras sandbox.

Karena itu, keamanan AI masa depan tidak bisa hanya mengandalkan "system prompt yang ditulis makin panjang".

Arah yang benar-benar andal seharusnya:

pelatihan keamanan internal model
mesin kebijakan eksternal
sandbox hak akses alat
log audit wajib
isolasi informasi rahasia
validasi silang multi-model
pengujian red team otomatis

System prompt bisa menjadi kemudi, tetapi tidak boleh dijadikan rem.

Penutup

Yang paling ironis dari kisah Fable 5: Anthropic selama ini menjadi juru kampanye keamanan AI, namun tak lama setelah model teramannya diluncurkan, langsung muncul kabar dugaan kebocoran system prompt.

Ini bukan berarti Anthropic tidak mampu. Justru sebaliknya, ini menunjukkan bahwa persoalan keamanan AI sendiri telah memasuki tahap yang jauh lebih sulit.

Dulu manusia menyerang AI.

Kini AI mengorganisasi AI untuk menyerang AI.

Ketika serangan otomatis, kebijakan otomatis, dan evaluasi ulang otomatis terjadi bersamaan, bergantung pada satu system prompt keamanan 120 ribu karakter untuk menjaga benteng sudah pasti tidak cukup.

Era persaingan lunak keamanan AI telah berakhir; era perang terbuka baru saja dimulai.