Project Glasswing: AI Claude Mythos Temukan Ribuan Celah Keamanan Software

Kemampuan ini biasanya membutuhkan keahlian peneliti keamanan tingkat tinggi.

Hasil Bulan Pertama: Lebih dari 10.000 Kerentanan

Dalam pembaruan awal program, Anthropic melaporkan angka yang cukup mengejutkan.

Selama sekitar satu bulan pertama:

• Lebih dari 10.000 kerentanan berisiko tinggi atau kritis ditemukan oleh Anthropic dan sekitar 50 organisasi mitra.
• Sebagian besar organisasi menemukan ratusan bug serius di sistem mereka sendiri.
• Beberapa mitra mengatakan tingkat penemuan bug meningkat lebih dari 10 kali lipat dibanding metode sebelumnya.

Contoh yang disebutkan secara publik adalah Cloudflare, perusahaan infrastruktur internet global, yang melaporkan menemukan sekitar 2.000 bug—termasuk 400 yang tergolong tinggi atau kritis—di layanan inti mereka menggunakan model ini.

Angka‑angka tersebut menunjukkan AI dapat mempercepat audit keamanan pada basis kode yang sangat besar.

Performa Teknis dan Benchmark

Selain klaim dari program Glasswing sendiri, ada beberapa indikator eksternal tentang kemampuan model ini.

Institut keamanan AI Inggris (UK AI Security Institute) melaporkan bahwa Claude Mythos Preview berhasil menyelesaikan sekitar 73% tantangan keamanan tingkat pakar dalam kompetisi capture‑the‑flag (CTF)—jenis tes yang biasa digunakan untuk mengukur kemampuan menemukan kerentanan nyata.

Analisis teknis juga menggambarkan kemampuan model untuk:

• menemukan zero‑day vulnerability (celah yang sebelumnya tidak diketahui pengembang)
• menggabungkan beberapa kerentanan untuk meningkatkan akses hingga kontrol penuh sistem
• membuat kode eksploitasi otomatis yang menunjukkan bagaimana bug dapat disalahgunakan

Kemampuan ini melampaui analisis statis tradisional dan mendekati pekerjaan yang biasanya dilakukan peneliti keamanan elit.

Contoh Kerentanan yang Ditemukan

Sebagian besar temuan belum dipublikasikan karena masih dalam proses patch keamanan terkoordinasi. Namun beberapa contoh telah dilaporkan.

Menurut laporan yang merangkum klaim Anthropic, model ini berhasil menemukan:

• Bug berusia 27 tahun di kernel OpenBSD terkait opsi TCP SACK.
• Kerentanan 16 tahun di FFmpeg, perangkat lunak pemrosesan video populer, yang sebelumnya lolos dari jutaan pengujian otomatis.
• Rantai bug di kernel Linux yang memungkinkan eskalasi hak akses dari pengguna biasa menjadi kontrol penuh sistem.

Anthropic juga menyatakan bahwa lebih dari 99% kerentanan yang ditemukan belum dipublikasikan karena belum semuanya diperbaiki.

Perusahaan dan Organisasi yang Terlibat

Project Glasswing dijalankan sebagai koalisi organisasi teknologi dan keamanan.

Beberapa mitra yang dilaporkan ikut serta antara lain:

• Amazon Web Services (AWS)
• Apple
• Google
• Microsoft
• NVIDIA
• Cisco
• Broadcom
• CrowdStrike
• Palo Alto Networks
• JPMorgan Chase
• Linux Foundation

Secara keseluruhan program ini melibatkan sekitar 50 organisasi yang menjalankan model tersebut untuk memeriksa software internal maupun proyek open‑source penting.

Mengapa Model Ini Tidak Dirilis Publik

Anthropic menegaskan bahwa Mythos tidak dirilis secara terbuka karena kemampuan yang sama yang membantu pertahanan juga dapat digunakan untuk menyerang sistem komputer.

AI yang dapat secara otomatis menemukan dan mengeksploitasi zero‑day vulnerability berpotensi menurunkan hambatan bagi operasi serangan siber skala besar.

Karena itu perusahaan memilih pendekatan akses terbatas melalui mitra keamanan terlebih dahulu.

Kritik dan Skeptisisme dari Komunitas Keamanan

Walau angka yang dilaporkan terlihat sangat impresif, beberapa pakar keamanan tetap berhati‑hati.

1. Verifikasi independen masih terbatas
Sebagian besar klaim—termasuk angka 10.000 kerentanan—berasal dari laporan Anthropic sendiri. Karena detail bug belum dipublikasikan, peneliti luar belum dapat memverifikasi temuan tersebut secara langsung.

2. Kemampuan mungkin tidak sepenuhnya unik
Beberapa peneliti mengatakan bahwa kemampuan menemukan kerentanan mungkin sudah dapat direplikasi dengan kombinasi model AI publik dan alat keamanan yang ada.

3. Sulit mengukur tingkat validasi nyata
Walaupun ada hasil benchmark seperti skor CTF 73%, statistik detail tentang berapa banyak bug yang benar‑benar dikonfirmasi dan diperbaiki dalam sistem produksi belum sepenuhnya dipublikasikan.

Kesimpulan

Jika angka yang dilaporkan Anthropic terbukti akurat, Project Glasswing bisa menjadi salah satu proyek penemuan kerentanan berbasis AI terbesar yang pernah dilakukan. Dalam satu bulan saja, program ini dilaporkan menemukan lebih dari 10.000 celah keamanan serius pada software yang digunakan secara luas di seluruh dunia.

Namun karena sebagian besar temuan masih dirahasiakan hingga patch dirilis, komunitas keamanan masih menunggu verifikasi independen yang lebih luas.

Yang jelas, AI kini mulai menjadi alat penting dalam penelitian keamanan perangkat lunak—mampu memindai kode dalam skala besar, menemukan bug tersembunyi, dan bahkan membuat eksploitasi untuk mengujinya. Apakah Mythos benar‑benar sebuah terobosan unik atau hanya awal dari tren baru dalam keamanan siber berbasis AI kemungkinan baru akan terjawab dalam beberapa tahun ke depan.