Mengapa Claude Mythos Memicu Perlombaan Global untuk Menambal Sistem

Rilis Claude Mythos Preview oleh Anthropic pada 7 April 2026 mengubah cara banyak organisasi memandang manajemen kerentanan. Menurut Anthropic, model ini bukan hanya mampu mendeteksi bug, melainkan juga menemukan kerentanan zero-day, mengubahnya menjadi komponen eksploit, lalu merangkainya menjadi rantai serangan dari ujung ke ujung. 3941

Implikasinya sederhana, tetapi besar: jika penemuan dan pengembangan eksploit dapat dipercepat oleh AI, perusahaan harus mempercepat penemuan, validasi, dan penerapan perbaikan sebelum kemampuan serupa dipakai untuk menyerang.

Mengapa patching mendadak menjadi sangat mendesak

Manajemen kerentanan secara tradisional sering berpusat pada celah yang sudah diketahui: vendor merilis pembaruan, organisasi menilai dampaknya, lalu tim menjadwalkan perbaikan. Namun, alat yang mampu mencari cacat perangkat lunak yang belum terungkap dan mengembangkan eksploit berpotensi memperpendek rentang waktu tersebut.

Bukan berarti setiap kelemahan perangkat lunak otomatis dapat dieksploitasi. Namun, waktu antara adanya bug tersembunyi dan tersedianya metode serangan yang berfungsi bisa menjadi jauh lebih singkat.

Anthropic menyatakan bahwa dalam pengujiannya, Mythos Preview dapat mengidentifikasi dan mengeksploitasi zero-day pada setiap sistem operasi dan peramban utama. Perusahaan juga menyebut kemampuan membuat komponen eksploit dan menyatukannya menjadi rantai serangan lengkap sebagai alasan utama memilih peluncuran terkendali, bukan rilis untuk publik luas. 3941

Inilah dasar istilah “perlombaan patching”. Organisasi memang tidak bisa menambal kerentanan yang belum diungkapkan. Namun, mereka dapat mengurangi dampaknya dengan memastikan inventaris aset akurat, menghapus perangkat lunak yang tidak lagi didukung, memasang pembaruan kritis dengan cepat, memperkeras layanan yang terbuka ke internet, dan memeriksa ketergantungan perangkat lunak pihak ketiga.

Sektor keuangan memandangnya sebagai isu ketahanan operasional

Reaksi sektor keuangan mencerminkan ketergantungannya pada infrastruktur yang saling terhubung serta rendahnya toleransi terhadap gangguan layanan maupun kompromi sistem. CNBC melaporkan bahwa Menteri Keuangan AS Scott Bessent dan Ketua Federal Reserve Jerome Powell bertemu dengan pimpinan bank-bank besar AS untuk membahas potensi risiko siber yang ditimbulkan oleh Mythos. 55

CEO Citigroup Jane Fraser kemudian menggambarkan respons korporasi secara langsung: perusahaan tengah berlomba memperkuat perimeter pertahanan, dan terjadi “tsunami patching” di berbagai perusahaan. 49

Pernyataan itu tidak berarti Mythos telah dituduh sebagai penyebab serangan tertentu. Maknanya, prospek percepatan pengembangan eksploit saja sudah cukup untuk menjadikan kecepatan patching, pengurangan paparan, dan kesiapan pemulihan sebagai perhatian tingkat eksekutif.

Project Glasswing: akses terbatas untuk pengujian defensif

Anthropic tidak merilis Mythos Preview secara umum. Sebagai gantinya, perusahaan meluncurkan Project Glasswing, sebuah kolaborasi yang memberi akses awal untuk membantu mengamankan perangkat lunak kritis dan menyiapkan organisasi menghadapi kapabilitas siber berbasis AI yang lebih kuat. 3942

Pada tahap awal, program ini melibatkan sekitar 50 mitra yang memindai basis kode mereka untuk mencari kerentanan. Anthropic kemudian menyatakan organisasi peserta telah menemukan lebih dari 10.000 kelemahan dengan tingkat keparahan tinggi atau kritis. Program itu selanjutnya diperluas menjadi sekitar 150 organisasi di lebih dari 15 negara. 4340

Pendekatan ini menjadi contoh praktis untuk kemampuan AI yang bersifat dual-use: akses dibatasi, penggunaannya diarahkan ke pertahanan, lalu kemampuan tersebut dipakai untuk mengurangi utang keamanan yang sudah ada sebelum alat setara tersedia lebih luas.

Meski begitu, model ini tidak menghapus risiko. Program akses sukarela tetap bergantung pada seleksi peserta, penanganan temuan yang aman, pengungkapan kerentanan secara bertanggung jawab, serta kemampuan pengelola perangkat lunak untuk menambal kelemahan yang ditemukan. Materi terbaru Anthropic masih menyebut akses Mythos terbatas bagi sekelompok kecil organisasi yang telah diverifikasi. 34

Respons India menekankan pertahanan terkoordinasi

Regulator pasar modal India, Securities and Exchange Board of India (SEBI), membentuk satuan tugas cyber-suraksha.ai untuk mengkaji risiko siber dari alat AI yang dapat mengidentifikasi kerentanan dan menyusun strategi mitigasi bagi pelaku pasar. Dalam pemberitaannya, entitas yang diatur SEBI diarahkan untuk memperbarui aplikasi, menjalankan audit keamanan siber, dan memantau jaringan secara berkala. Satuan tugas tersebut juga ditujukan untuk mendukung berbagi intelijen ancaman serta pengurangan risiko secara terkoordinasi. 2329

Penekanannya penting. Penemuan kerentanan yang dipercepat AI bukan hanya masalah satu tim keamanan informasi. Pelaku pasar keuangan bergantung pada infrastruktur bersama, vendor perangkat lunak, layanan cloud, API, dan penyedia jasa. Patch yang terlambat di satu organisasi dapat menimbulkan risiko bagi organisasi lain.

Karena itu, pertukaran intelijen, pemeriksaan pemasok, dan standar respons bersama sama pentingnya dengan menemukan celah itu sendiri.

Apa arti kasus Mythos bagi tata kelola AI

Mythos menajamkan isu lama: AI tingkat lanjut dapat menjadi alat pertahanan keamanan yang kuat, sekaligus berpotensi menurunkan biaya riset serangan siber. Respons kebijakan yang memadai bukan semata-mata melarang atau melepas model seperti ini ke publik, melainkan membangun pengendalian yang dapat diandalkan di sekeliling evaluasi dan penggunaannya.

Kerangka tata kelola AI untuk keamanan siber yang kredibel setidaknya mencakup:

• Evaluasi kapabilitas sebelum rilis, termasuk pengujian penemuan kerentanan secara otonom, pengembangan eksploit, dan perangkaian serangan multi-tahap.
• Kontrol akses bertingkat bagi model yang melewati ambang risiko tinggi, dengan verifikasi identitas, pencatatan aktivitas, pemantauan, serta prosedur pencabutan akses yang jelas.
• Pengungkapan kerentanan terkoordinasi, agar vendor dan pengelola proyek mendapat jalur rahasia dan cepat untuk menerima serta memperbaiki temuan.
• Aturan prioritas patch bersama untuk infrastruktur kritis dan komponen sumber terbuka yang dipakai secara luas.
• Pelaporan insiden dan pengawasan independen, sehingga pemerintah, operator, dan peneliti dapat membedakan risiko yang terdokumentasi dari spekulasi.

Project Glasswing memperlihatkan sisi defensif dari model tersebut: memakai sistem yang kuat untuk menemukan kelemahan sebelum dimanfaatkan penyerang. Namun, sebagai program yang dipimpin perusahaan, inisiatif ini belum dapat menggantikan standar internasional yang berlaku bersama.

Klaim yang belum terverifikasi kuat

Sumber yang tersedia mendukung rangkaian fakta utama: peluncuran Mythos secara terbatas, pemindaian defensif Project Glasswing, diskusi sektor keuangan, peringatan Jane Fraser mengenai gelombang patching, serta pembentukan satuan tugas SEBI. 3940554923

Namun, tidak semua klaim yang beredar memiliki konfirmasi sumber primer yang kuat. Pengaturan akses dengan ENISA, dugaan peringatan sebelumnya dari Microsoft, latihan skenario terburuk oleh Treasury AS, dan kerangka keselamatan AI AS tertentu pada Juni perlu diperlakukan secara hati-hati tanpa dokumentasi resmi.

Anthropic memang menyatakan akses ke Fable 5 dan Mythos 5 sempat ditangguhkan lalu dipulihkan setelah kontrol ekspor dicabut pada 30 Juni. Perkembangan itu tidak boleh disamakan dengan bukti adanya kerangka keselamatan AI AS yang lebih luas. 3537

Perubahan jangka panjang: menunggu pengumuman CVE tidak lagi cukup

Pelajaran praktis dari episode ini adalah patching tidak lagi dapat diperlakukan hanya sebagai respons terhadap notifikasi kerentanan publik. Jika AI benar-benar mempercepat pencarian kelemahan yang belum ditemukan, tim keamanan perlu berasumsi bahwa sebagian celah yang dapat dieksploitasi mungkin sudah ditemukan secara privat sebelum CVE, advisori, atau pembaruan vendor diterbitkan.

Hal itu tidak membuat patching sia-sia. Justru sebaliknya, disiplin dasar menjadi makin bernilai: visibilitas aset, remediasi cepat, konfigurasi aman, segmentasi jaringan, cadangan data yang teruji, akuntabilitas pemasok, dan jalur pengungkapan yang cepat.

Di lingkungan ancaman yang dibantu AI, kemampuan-kemampuan tersebut akan menentukan apakah penemuan kerentanan tetap menjadi masalah rekayasa yang dapat dikelola, atau berkembang menjadi krisis ketahanan sistemik.