Apa yang dilaporkan telah ditunjukkan Claude Mythos?

Anthropic membuat Project Glasswing agar organisasi teknologi dan infrastruktur terpilih dapat memakai Claude Mythos Preview dalam lingkungan yang terkendali. Tujuannya adalah menemukan dan memperbaiki kelemahan sebelum celah tersebut dieksploitasi secara lebih luas. Model ini tidak diluncurkan sebagai alat publik serbaguna karena kemampuan riset kerentanannya berpotensi berbahaya jika jatuh ke tangan yang keliru.

Laporan terkait program tersebut menyebut Mythos menemukan kerentanan pada peramban web dan sistem operasi besar, termasuk celah yang telah tersembunyi selama bertahun-tahun. Model itu juga dilaporkan mampu mengembangkan jalur atau kode eksploit secara otonom.

Dalam pembaruan resminya, Anthropic menyatakan Mythos digunakan untuk memindai lebih dari 1.000 proyek sumber terbuka. Dari kelemahan yang ditemukan pada proyek-proyek tersebut, model itu memperkirakan ada 6.202 kerentanan berkeparahan tinggi atau kritis. Angka ini merupakan temuan yang dilaporkan, bukan bukti bahwa seluruhnya dapat dieksploitasi di dunia nyata atau bahwa model tersebut dapat mengambil alih setiap sistem yang terdampak.

Mengapa organisasi di Singapura perlu memperhatikannya?

Paparan paling mendesak berada pada sistem yang dapat diakses dari internet atau terhubung dengan lingkungan bernilai tinggi, termasuk:

• gerbang akses jarak jauh dan antarmuka administrasi;
• sistem identitas, pengelolaan cloud, serta akses istimewa;
• pipeline pengembangan perangkat lunak dan dependensi pihak ketiga;
• aplikasi serta API yang digunakan pelanggan; dan
• infrastruktur informasi kritis atau layanan esensial lainnya.

Jika kelemahan ditemukan dan dipersenjatai lebih cepat, organisasi dapat menghadapi pencurian data, gangguan layanan, ransomware, penipuan, atau pergerakan lateral ke sistem lain. AI juga dapat membantu pelaku membuat kampanye phishing, penyamaran identitas, kloning suara, dan deepfake yang meyakinkan dalam skala besar, termasuk upaya melewati kontrol autentikasi.

Cyber Security Agency of Singapore (CSA), lembaga pemerintah Singapura yang menangani keamanan siber, memperingatkan bahwa sistem AI otonom dapat memangkas waktu yang diperlukan untuk melakukan serangan sekaligus menurunkan hambatan keterampilan bagi penyerang yang kurang berpengalaman. Karena itu, lamanya sebuah celah dibiarkan terbuka, perlindungan akun istimewa, serta kecepatan deteksi dan respons kini semakin penting.

Langkah segera bagi tim keamanan

1. Tambal kerentanan kritis dan berkeparahan tinggi yang terekspos lebih dulu

Dalam advisori mengenai AI frontier, CSA memprioritaskan perbaikan seluruh kerentanan kritis dan berkeparahan tinggi pada sistem yang menghadap internet. Aset-aset ini paling rentan terhadap serangan otomatis dan dapat menimbulkan dampak luas jika berhasil disusupi.

Organisasi perlu memiliki inventaris akurat untuk perangkat keras, perangkat lunak, aset cloud, dan permukaan serangan eksternal. Sistem yang sudah tidak didukung harus diidentifikasi, perbaikan dari vendor diterapkan segera, dan keberhasilan penambalan diverifikasi. Jika patch belum dapat dipasang, sistem sebaiknya diisolasi, aksesnya dibatasi, atau dilindungi dengan kontrol kompensasi lain sampai perbaikan permanen tersedia.

2. Terapkan MFA pada sistem istimewa dan yang dapat diakses dari luar

Autentikasi multifaktor (MFA) harus melindungi antarmuka administrasi, gerbang akses jarak jauh, konsol pengelolaan cloud, dan akun bernilai tinggi lainnya. Jika memungkinkan, CSA menganjurkan metode yang lebih tahan phishing, seperti token perangkat keras atau biometrik, daripada kode melalui SMS atau email.

MFA merupakan lapisan penting, tetapi bukan pengganti patch. Kerentanan tertentu dapat memungkinkan pencurian sesi, pembobolan autentikasi, atau akses melalui layanan yang terbuka. Karena itu, kontrol identitas harus berjalan bersama konfigurasi yang aman dan pembaruan tepat waktu.

3. Kurangi akses yang tidak diperlukan

Hapus akun yang tidak aktif, pisahkan identitas biasa dari identitas administrator, batasi hak akun layanan, serta tinjau akses pihak ketiga, API, dan vendor. Aktivitas istimewa harus dicatat dan, bila memungkinkan, diberikan hanya selama diperlukan untuk menyelesaikan tugas—pendekatan yang sering disebut akses just-in-time.

Kontrol ini membatasi kerusakan jika penyerang memperoleh kredensial atau berhasil menyusupi lingkungan pengembangan, cloud, atau pengelolaan identitas.

4. Perkuat pemantauan dan pembatasan insiden

Pusatkan log yang relevan dari sistem identitas, endpoint, jaringan, dan cloud. Aturan deteksi perlu mencakup autentikasi yang tidak biasa, perubahan hak akses, akses dari lokasi asing, aktivitas administrasi yang tidak terduga, serta perubahan mencurigakan pada perangkat lunak atau pipeline deployment.

Tim respons insiden harus berlatih menghadapi skenario eksploitasi cepat, termasuk cara mengisolasi host, menonaktifkan akun, memblokir lalu lintas berbahaya, menghubungi vendor, dan menjaga bukti digital. Cadangan yang telah diuji dan disimpan secara offline atau immutable dapat mengurangi dampak ransomware serta serangan yang merusak data.

Langkah ketahanan jangka panjang

Buat pembaruan keamanan lebih mudah dan cepat diterapkan

Tujuannya bukan hanya menemukan lebih banyak kerentanan. Organisasi membutuhkan proses berulang dari penemuan, penentuan prioritas, pengujian, penerapan bertahap, verifikasi, hingga rollback. Otomasi dapat mengurangi keterlambatan patch sekaligus menekan risiko pembaruan darurat menimbulkan gangguan operasional yang tidak aman.

Direksi dan pimpinan senior sebaiknya memantau ukuran yang praktis, seperti usia kerentanan kritis pada aset yang terhubung ke internet, waktu perbaikan, cakupan MFA untuk akun istimewa, serta waktu dari deteksi hingga pembatasan insiden.

Gunakan AI untuk pertahanan dengan pengamanan yang jelas

Peninjauan kode berbantuan AI, analisis komposisi perangkat lunak, pengelolaan permukaan serangan, dan triase kerentanan dapat membantu tim memproses lebih banyak temuan. Namun, temuan yang dihasilkan AI harus divalidasi secara independen. Kode sumber dan data sensitif yang dikirim ke alat AI juga harus dilindungi, hak akses model perlu dibatasi, dan perubahan pada sistem produksi harus memerlukan persetujuan manusia.

AI sebaiknya memperkuat proses keamanan yang sudah mapan, bukan menjadi operator tanpa pengawasan dengan akses luas ke kode, kredensial, atau infrastruktur.

Perkuat perlindungan infrastruktur kritis

Operator infrastruktur informasi kritis perlu menerapkan pertahanan berlapis, segmentasi jaringan, deteksi intrusi berkelanjutan, penilaian keamanan pemasok, dan latihan krisis secara berkala. Singapura juga telah mengisyaratkan penguatan deteksi ancaman serta kerja sama dengan penyedia cloud untuk membantu pemilik infrastruktur informasi kritis mengamankan sistem mereka.

Prinsip yang sama berlaku bagi organisasi yang bergantung pada pemasok kritis. Kerentanan pada platform bersama, layanan terkelola, atau dependensi perangkat lunak dapat menciptakan risiko di luar batas satu perusahaan.

Tingkatkan kebiasaan keamanan siber sehari-hari

Pelatihan karyawan perlu membahas phishing, penyamaran identitas, dan deepfake yang diperkuat AI. Namun, pelatihan kesadaran harus dilengkapi kontrol proses. Perubahan rekening pembayaran atau akun berisiko tinggi harus diverifikasi secara terpisah melalui kanal tepercaya. Karyawan juga perlu memiliki jalur yang jelas untuk melaporkan pesan atau permintaan mencurigakan.

Prioritas untuk lembaga keuangan

Untuk lembaga keuangan, panduan Monetary Authority of Singapore (MAS) menekankan verifikasi tambahan bagi transaksi berisiko tinggi dan staf dengan hak istimewa, termasuk MFA untuk akun berhak akses tinggi serta aktivitas sensitif. Panduan itu juga menunjuk kontrol seperti deteksi liveness dan verifikasi yang lebih kuat untuk menghadapi penipuan berbasis deepfake.

MAS dan Association of Banks in Singapore kemudian membentuk gugus tugas industri untuk memperkuat ketahanan siber dan teknologi secara kolektif menghadapi ancaman berbasis AI. Langkah ini menunjukkan pelajaran yang lebih luas dari AI frontier: kontrol internal yang kuat tetap penting, tetapi berbagi informasi, respons terkoordinasi, dan latihan lintas sektor juga diperlukan ketika organisasi memakai pemasok dan perangkat lunak yang sama.

Intinya

Signifikansi Claude Mythos Preview, berdasarkan laporan yang tersedia, terletak pada potensinya untuk memampatkan waktu antara penemuan kerentanan dan eksploitasi. Bukti saat ini lebih mendukung pergeseran pada kecepatan dan skala teknik serangan yang sudah ada, bukan bukti bahwa model tersebut telah menciptakan kategori serangan siber yang sepenuhnya baru.

Bagi organisasi di Singapura, respons yang paling masuk akal bersifat praktis: segera menambal sistem kritis yang terekspos, menerapkan MFA tahan phishing, meminimalkan hak istimewa, melakukan pemantauan berkelanjutan, melatih skenario eksploitasi massal, serta menggunakan AI untuk memperluas pertahanan tanpa menyerahkan kendali kepada mesin.

Dalam lingkungan ancaman yang dipercepat AI, kecepatan patch dan waktu respons bukan lagi sekadar metrik operasional di belakang layar. Keduanya merupakan ukuran utama ketahanan organisasi.

Apa yang dilaporkan telah ditunjukkan Claude Mythos?

Anthropic membuat Project Glasswing agar organisasi teknologi dan infrastruktur terpilih dapat memakai Claude Mythos Preview dalam lingkungan yang terkendali. Tujuannya adalah menemukan dan memperbaiki kelemahan sebelum celah tersebut dieksploitasi secara lebih luas. Model ini tidak diluncurkan sebagai alat publik serbaguna karena kemampuan riset kerentanannya berpotensi berbahaya jika jatuh ke tangan yang keliru.

Laporan terkait program tersebut menyebut Mythos menemukan kerentanan pada peramban web dan sistem operasi besar, termasuk celah yang telah tersembunyi selama bertahun-tahun. Model itu juga dilaporkan mampu mengembangkan jalur atau kode eksploit secara otonom.

Dalam pembaruan resminya, Anthropic menyatakan Mythos digunakan untuk memindai lebih dari 1.000 proyek sumber terbuka. Dari kelemahan yang ditemukan pada proyek-proyek tersebut, model itu memperkirakan ada 6.202 kerentanan berkeparahan tinggi atau kritis. Angka ini merupakan temuan yang dilaporkan, bukan bukti bahwa seluruhnya dapat dieksploitasi di dunia nyata atau bahwa model tersebut dapat mengambil alih setiap sistem yang terdampak.

Mengapa organisasi di Singapura perlu memperhatikannya?

Paparan paling mendesak berada pada sistem yang dapat diakses dari internet atau terhubung dengan lingkungan bernilai tinggi, termasuk:

• gerbang akses jarak jauh dan antarmuka administrasi;
• sistem identitas, pengelolaan cloud, serta akses istimewa;
• pipeline pengembangan perangkat lunak dan dependensi pihak ketiga;
• aplikasi serta API yang digunakan pelanggan; dan
• infrastruktur informasi kritis atau layanan esensial lainnya.

Jika kelemahan ditemukan dan dipersenjatai lebih cepat, organisasi dapat menghadapi pencurian data, gangguan layanan, ransomware, penipuan, atau pergerakan lateral ke sistem lain. AI juga dapat membantu pelaku membuat kampanye phishing, penyamaran identitas, kloning suara, dan deepfake yang meyakinkan dalam skala besar, termasuk upaya melewati kontrol autentikasi.

Cyber Security Agency of Singapore (CSA), lembaga pemerintah Singapura yang menangani keamanan siber, memperingatkan bahwa sistem AI otonom dapat memangkas waktu yang diperlukan untuk melakukan serangan sekaligus menurunkan hambatan keterampilan bagi penyerang yang kurang berpengalaman. Karena itu, lamanya sebuah celah dibiarkan terbuka, perlindungan akun istimewa, serta kecepatan deteksi dan respons kini semakin penting.

Langkah segera bagi tim keamanan

1. Tambal kerentanan kritis dan berkeparahan tinggi yang terekspos lebih dulu

Dalam advisori mengenai AI frontier, CSA memprioritaskan perbaikan seluruh kerentanan kritis dan berkeparahan tinggi pada sistem yang menghadap internet. Aset-aset ini paling rentan terhadap serangan otomatis dan dapat menimbulkan dampak luas jika berhasil disusupi.

Organisasi perlu memiliki inventaris akurat untuk perangkat keras, perangkat lunak, aset cloud, dan permukaan serangan eksternal. Sistem yang sudah tidak didukung harus diidentifikasi, perbaikan dari vendor diterapkan segera, dan keberhasilan penambalan diverifikasi. Jika patch belum dapat dipasang, sistem sebaiknya diisolasi, aksesnya dibatasi, atau dilindungi dengan kontrol kompensasi lain sampai perbaikan permanen tersedia.

2. Terapkan MFA pada sistem istimewa dan yang dapat diakses dari luar

Autentikasi multifaktor (MFA) harus melindungi antarmuka administrasi, gerbang akses jarak jauh, konsol pengelolaan cloud, dan akun bernilai tinggi lainnya. Jika memungkinkan, CSA menganjurkan metode yang lebih tahan phishing, seperti token perangkat keras atau biometrik, daripada kode melalui SMS atau email.

MFA merupakan lapisan penting, tetapi bukan pengganti patch. Kerentanan tertentu dapat memungkinkan pencurian sesi, pembobolan autentikasi, atau akses melalui layanan yang terbuka. Karena itu, kontrol identitas harus berjalan bersama konfigurasi yang aman dan pembaruan tepat waktu.

3. Kurangi akses yang tidak diperlukan

Hapus akun yang tidak aktif, pisahkan identitas biasa dari identitas administrator, batasi hak akun layanan, serta tinjau akses pihak ketiga, API, dan vendor. Aktivitas istimewa harus dicatat dan, bila memungkinkan, diberikan hanya selama diperlukan untuk menyelesaikan tugas—pendekatan yang sering disebut akses just-in-time.

Kontrol ini membatasi kerusakan jika penyerang memperoleh kredensial atau berhasil menyusupi lingkungan pengembangan, cloud, atau pengelolaan identitas.

4. Perkuat pemantauan dan pembatasan insiden

Pusatkan log yang relevan dari sistem identitas, endpoint, jaringan, dan cloud. Aturan deteksi perlu mencakup autentikasi yang tidak biasa, perubahan hak akses, akses dari lokasi asing, aktivitas administrasi yang tidak terduga, serta perubahan mencurigakan pada perangkat lunak atau pipeline deployment.

Tim respons insiden harus berlatih menghadapi skenario eksploitasi cepat, termasuk cara mengisolasi host, menonaktifkan akun, memblokir lalu lintas berbahaya, menghubungi vendor, dan menjaga bukti digital. Cadangan yang telah diuji dan disimpan secara offline atau immutable dapat mengurangi dampak ransomware serta serangan yang merusak data.

Langkah ketahanan jangka panjang

Buat pembaruan keamanan lebih mudah dan cepat diterapkan

Tujuannya bukan hanya menemukan lebih banyak kerentanan. Organisasi membutuhkan proses berulang dari penemuan, penentuan prioritas, pengujian, penerapan bertahap, verifikasi, hingga rollback. Otomasi dapat mengurangi keterlambatan patch sekaligus menekan risiko pembaruan darurat menimbulkan gangguan operasional yang tidak aman.

Direksi dan pimpinan senior sebaiknya memantau ukuran yang praktis, seperti usia kerentanan kritis pada aset yang terhubung ke internet, waktu perbaikan, cakupan MFA untuk akun istimewa, serta waktu dari deteksi hingga pembatasan insiden.

Gunakan AI untuk pertahanan dengan pengamanan yang jelas

Peninjauan kode berbantuan AI, analisis komposisi perangkat lunak, pengelolaan permukaan serangan, dan triase kerentanan dapat membantu tim memproses lebih banyak temuan. Namun, temuan yang dihasilkan AI harus divalidasi secara independen. Kode sumber dan data sensitif yang dikirim ke alat AI juga harus dilindungi, hak akses model perlu dibatasi, dan perubahan pada sistem produksi harus memerlukan persetujuan manusia.

AI sebaiknya memperkuat proses keamanan yang sudah mapan, bukan menjadi operator tanpa pengawasan dengan akses luas ke kode, kredensial, atau infrastruktur.

Perkuat perlindungan infrastruktur kritis

Operator infrastruktur informasi kritis perlu menerapkan pertahanan berlapis, segmentasi jaringan, deteksi intrusi berkelanjutan, penilaian keamanan pemasok, dan latihan krisis secara berkala. Singapura juga telah mengisyaratkan penguatan deteksi ancaman serta kerja sama dengan penyedia cloud untuk membantu pemilik infrastruktur informasi kritis mengamankan sistem mereka.

Prinsip yang sama berlaku bagi organisasi yang bergantung pada pemasok kritis. Kerentanan pada platform bersama, layanan terkelola, atau dependensi perangkat lunak dapat menciptakan risiko di luar batas satu perusahaan.

Tingkatkan kebiasaan keamanan siber sehari-hari

Pelatihan karyawan perlu membahas phishing, penyamaran identitas, dan deepfake yang diperkuat AI. Namun, pelatihan kesadaran harus dilengkapi kontrol proses. Perubahan rekening pembayaran atau akun berisiko tinggi harus diverifikasi secara terpisah melalui kanal tepercaya. Karyawan juga perlu memiliki jalur yang jelas untuk melaporkan pesan atau permintaan mencurigakan.

Prioritas untuk lembaga keuangan

Untuk lembaga keuangan, panduan Monetary Authority of Singapore (MAS) menekankan verifikasi tambahan bagi transaksi berisiko tinggi dan staf dengan hak istimewa, termasuk MFA untuk akun berhak akses tinggi serta aktivitas sensitif. Panduan itu juga menunjuk kontrol seperti deteksi liveness dan verifikasi yang lebih kuat untuk menghadapi penipuan berbasis deepfake.

MAS dan Association of Banks in Singapore kemudian membentuk gugus tugas industri untuk memperkuat ketahanan siber dan teknologi secara kolektif menghadapi ancaman berbasis AI. Langkah ini menunjukkan pelajaran yang lebih luas dari AI frontier: kontrol internal yang kuat tetap penting, tetapi berbagi informasi, respons terkoordinasi, dan latihan lintas sektor juga diperlukan ketika organisasi memakai pemasok dan perangkat lunak yang sama.

Intinya

Signifikansi Claude Mythos Preview, berdasarkan laporan yang tersedia, terletak pada potensinya untuk memampatkan waktu antara penemuan kerentanan dan eksploitasi. Bukti saat ini lebih mendukung pergeseran pada kecepatan dan skala teknik serangan yang sudah ada, bukan bukti bahwa model tersebut telah menciptakan kategori serangan siber yang sepenuhnya baru.

Bagi organisasi di Singapura, respons yang paling masuk akal bersifat praktis: segera menambal sistem kritis yang terekspos, menerapkan MFA tahan phishing, meminimalkan hak istimewa, melakukan pemantauan berkelanjutan, melatih skenario eksploitasi massal, serta menggunakan AI untuk memperluas pertahanan tanpa menyerahkan kendali kepada mesin.

Dalam lingkungan ancaman yang dipercepat AI, kecepatan patch dan waktu respons bukan lagi sekadar metrik operasional di belakang layar. Keduanya merupakan ukuran utama ketahanan organisasi.