Redditors menemukan celah kritis akhir pekan lalu: percakapan yang dibagikan pengguna Claude melalui fitur share ternyata bisa ditemukan tanpa perlu tautan asli. Cukup dengan mengetik site:claude.ai/share di Google, puluhan halaman berisi transkrip obrolan pribadi muncul di hasil pencarian.
BBC News melaporkan, percakapan yang terekspos mencakup lebih dari 200 sesi obrolan yang tersebar di setidaknya 25 halaman hasil pencarian. Beberapa di antaranya terjadi hanya beberapa pekan lalu. Isinya? Mulai dari yang konyol—seperti teori konspirasi bahwa burung ikut menulis album Jay-Z—hingga yang sangat sensitif: transkrip percakapan pribadi, seorang pengacara yang bertanya apakah perlu melaporkan pelanggaran etikanya sendiri, hingga pengguna yang meminta bantuan membuat dompet kripto dan tanpa sengaja membeberkan kunci pribadinya.
Kesalahan Teknis yang Seharusnya Tidak Terjadi
Anthropic, perusahaan di balik Claude, awalnya meremehkan temuan ini. Dalam pernyataannya, mereka beralasan bahwa pengguna yang membagikan percakapan secara sadar membuat konten tersebut publik, dan seperti konten web publik lainnya, konten itu mungkin diarsipkan oleh layanan pihak ketiga.
Namun penyelidikan Wired mengungkapkan akar masalah yang lebih dalam: keteledoran teknis. Halaman percakapan yang dibagikan Claude ternyata tidak menyertakan tag "noindex"—kode sederhana yang memberi tahu mesin pencari seperti Google dan Bing untuk tidak mengindeks halaman tersebut. Tanpa tag ini, Google secara otomatis memasukkan halaman-halaman itu ke dalam database pencariannya.
Wired melaporkan bahwa mereka memeriksa sampel halaman chat Claude yang terekspos dan menemukan ketiadaan tag noindex secara konsisten. Anthropic tidak memberikan jawaban saat ditanya mengapa tag tersebut tidak disertakan.
Dua Celah dalam Waktu Berdekatan
Kabar ini muncul sehari setelah laporan bahwa Claude Cowork—versi desktop Claude untuk Mac—bisa kabur dari sandbox keamanannya dan mengakses seluruh file di komputer pengguna. Dua insiden beruntun ini menunjukkan bahwa pendekatan Anthropic terhadap keamanan data masih jauh dari kata matang.
Bagi pengguna yang pernah menggunakan fitur share Claude, langkah pertama adalah menghapus percakapan yang sudah dibagikan. Caranya: buka Settings > Privacy > Shared chats > Manage. Sementara itu, fitur share sendiri sebaiknya tidak digunakan dulu karena hanya mengandalkan security by obscurity—anggapan bahwa tautan acak tidak akan ditemukan orang.
Pelajaran untuk Industri dan Pengguna Indonesia
Insiden ini menjadi pengingat getir bagi pengguna AI chatbot di Indonesia, yang jumlahnya terus bertumbuhan. Banyak yang menganggap obrolan dengan chatbot bersifat privat, padahal tidak semua penyedia menerapkan enkripsi ujung-ke-ujung atau pemrosesan di perangkat.
Di sinilah pendekatan Apple menunjukkan keunggulannya. Apple Intelligence dan Siri terbaru menggunakan sistem tiga lapis: pemrosesan AI dilakukan di perangkat sebisa mungkin, kemudian beralih ke server Private Cloud Compute (PCC) milik Apple sendiri, dan hanya sebagai pilihan terakhir menggunakan model Gemini dengan perlindungan setara PCC. Arsitektur PCC dirancang agar tidak ada data yang bisa diakses Apple atau Google, dan klaim ini bisa diverifikasi secara independen oleh peneliti keamanan.
Bagi pengguna yang sangat mementingkan privasi, insiden Claude ini menegaskan satu hal: jangan pernah menganggap data Anda aman hanya karena chatbot memintanya. Fitur berbagi, betapapun praktisnya, bisa menjadi pintu bocor yang tidak terduga.
