Mengapa Mythos Anthropic Mencetuskan Perlumbaan Patching Keselamatan Siber

Anthropic mencetuskan rasa mendesak baharu dalam keselamatan siber apabila ia melancarkan Claude Mythos Preview pada 7 April 2026. Menurut syarikat itu, model berkenaan bukan sekadar boleh mengesan pepijat perisian, malah boleh mengenal pasti kelemahan sifar hari (zero-day), menukarkannya kepada komponen eksploit, dan menggabungkannya menjadi rantaian serangan lengkap. 3941

Bagi pasukan keselamatan, implikasinya jelas: kelemahan yang belum diketahui vendor mungkin ditemui dan dieksploitasi secara tertutup sebelum nombor CVE, notis keselamatan atau kemas kini rasmi sempat diterbitkan. Sebab itulah isu ini digambarkan sebagai perlumbaan untuk menampal kelemahan.

Mengapa patching tiba-tiba menjadi lebih mendesak

Pengurusan kelemahan lazimnya berasaskan kecacatan yang sudah diketahui. Vendor menerbitkan tampalan, organisasi menilai sama ada sistem mereka terjejas, kemudian pasukan IT menjadualkan pembaikan.

Model yang mampu mencari kelemahan baharu serta membangunkan eksploit berfungsi boleh memendekkan tempoh itu dengan ketara. Ini tidak bermaksud setiap pepijat terus boleh dieksploitasi. Namun, ia meningkatkan kemungkinan jurang masa antara penemuan kelemahan dan serangan praktikal menjadi jauh lebih singkat.

Anthropic berkata semasa ujiannya, Mythos Preview berjaya mengenal pasti dan mengeksploitasi kelemahan sifar hari dalam setiap sistem pengendalian dan pelayar utama. Syarikat itu turut menyatakan kebolehan membina komponen eksploit dan menghubungkannya menjadi rantaian serangan hujung ke hujung merupakan sebab utama model tersebut tidak dilepaskan kepada umum. 3941

Organisasi tidak boleh menampal kelemahan yang belum didedahkan. Tetapi mereka masih boleh mengecilkan kesannya melalui langkah asas yang sering tertangguh: inventori aset yang tepat, pengurangan penggunaan perisian tidak disokong, pemasangan tampalan kritikal dengan segera, pengukuhan perkhidmatan yang terdedah ke internet, dan semakan kebergantungan pihak ketiga.

Bank melihatnya sebagai isu daya tahan operasi

Sektor kewangan bertindak pantas kerana bergantung pada rangkaian sistem yang saling berhubung dan mempunyai toleransi yang sangat rendah terhadap gangguan operasi atau pencerobohan.

CNBC melaporkan bahawa Setiausaha Perbendaharaan AS Scott Bessent dan Pengerusi Rizab Persekutuan Jerome Powell bertemu ketua bank-bank utama AS untuk membincangkan kemungkinan risiko siber yang dibangkitkan oleh Mythos. 55

Ketua Eksekutif Citigroup, Jane Fraser, kemudian menggambarkan tindak balas korporat itu sebagai usaha memperkukuh perimeter pertahanan, dengan “tsunami of patching” sedang berlaku dalam kalangan syarikat di seluruh dunia. 49

Maksud penting kenyataan itu bukanlah Mythos dipersalahkan atas serangan tertentu. Sebaliknya, kebimbangan bahawa AI boleh mempercepat pembangunan eksploit sudah cukup untuk menjadikan kelajuan menampal, pengurangan pendedahan sistem dan kesiapsiagaan pemulihan sebagai isu di peringkat pengurusan tertinggi.

Project Glasswing: akses terkawal untuk kerja pertahanan

Anthropic tidak membuka Mythos Preview kepada pengguna umum. Sebaliknya, ia melancarkan Project Glasswing, iaitu kerjasama yang bertujuan menggunakan akses awal model tersebut untuk membantu melindungi perisian kritikal dan menyediakan organisasi menghadapi keupayaan siber berasaskan AI yang lebih kuat. 3942

Pada peringkat awal, kira-kira 50 rakan menggunakan model itu untuk mengimbas pangkalan kod masing-masing. Anthropic kemudian berkata organisasi yang terlibat telah menemui lebih 10,000 kelemahan berkeparahan tinggi atau kritikal. Program itu seterusnya diperluas kepada sekitar 150 organisasi di lebih 15 negara. 4340

Pendekatan ini menunjukkan satu model pengurusan teknologi dwiguna: hadkan akses, arahkan penggunaannya kepada pertahanan, dan gunakan keupayaan tersebut untuk mengurangkan hutang keselamatan sedia ada sebelum alat setara tersedia secara meluas.

Namun, akses terkawal bukan penyelesaian menyeluruh. Ia bergantung pada tapisan peserta yang kukuh, pengendalian penemuan secara selamat, pendedahan kelemahan yang bertanggungjawab, dan kemampuan penyelenggara perisian untuk membaiki kelemahan yang ditemui. Bahan semasa Anthropic masih menyatakan bahawa akses Mythos terhad kepada kumpulan kecil organisasi yang telah ditapis. 34

Respons India menumpukan pertahanan yang diselaras

Lembaga Sekuriti dan Bursa India (SEBI) menubuhkan pasukan petugas cyber-suraksha.ai untuk menilai risiko siber daripada alat AI yang mengenal pasti kelemahan serta membangunkan langkah mitigasi bagi peserta pasaran. Laporan mengenai nasihat itu menyatakan entiti terkawal diarahkan mengemas kini aplikasi, menjalankan audit keselamatan siber dan memantau rangkaian mereka; pasukan petugas itu pula menyokong perkongsian risikan ancaman serta pengurangan risiko secara bersama. 2329

Penekanannya penting: penemuan kelemahan yang dipercepat AI bukan semata-mata masalah sebuah pasukan operasi keselamatan. Peserta pasaran kewangan bergantung pada infrastruktur bersama, pembekal perisian, perkhidmatan awan, API dan penyedia perkhidmatan. Kelewatan satu organisasi menampal sistem boleh mencipta risiko kepada organisasi lain.

Oleh itu, perkongsian risikan, semakan pembekal dan jangkaan respons yang seragam sama penting dengan tugas mencari pepijat itu sendiri.

Apakah yang berubah dalam tadbir urus AI-siber

Mythos menajamkan isu yang telah lama dibincangkan: AI peringkat hadapan boleh menjadi alat pertahanan yang sangat berkuasa, tetapi berpotensi juga mengurangkan kos dan kepakaran yang diperlukan untuk penyelidikan serangan.

Respons yang munasabah bukan sekadar melarang atau melepaskan model sedemikian tanpa kawalan. Tumpuannya perlu pada kawalan yang boleh dipercayai sebelum dan ketika model digunakan, termasuk:

• Penilaian keupayaan sebelum pelepasan, khususnya bagi pencarian kelemahan autonomi, pembangunan eksploit dan rantaian serangan berbilang langkah.
• Kawalan akses berperingkat untuk model berisiko tinggi, termasuk pengesahan identiti, log penggunaan, pemantauan dan prosedur penamatan akses.
• Pendedahan kelemahan secara terselaras, supaya vendor serta penyelenggara menerima dapatan secara sulit dan boleh melakukan pembaikan dengan pantas.
• Peraturan keutamaan tampalan bersama untuk infrastruktur kritikal dan komponen sumber terbuka yang digunakan secara meluas.
• Pelaporan insiden serta pengawasan bebas supaya kerajaan, pengendali sistem dan penyelidik dapat membezakan risiko yang didokumenkan daripada spekulasi.

Project Glasswing menunjukkan sisi defensif pendekatan ini: menggunakan sistem berkuasa untuk menemui kelemahan sebelum ia dijumpai penyerang. Namun, sebagai program yang dipimpin syarikat, ia bukan pengganti kepada piawaian antarabangsa yang dikongsi bersama.

Dakwaan yang masih belum dapat disahkan dengan kukuh

Sumber yang ada menyokong urutan utama peristiwa: pelancaran Mythos secara terhad, pengimbasan defensif melalui Project Glasswing, perbincangan sektor kewangan, amaran Fraser mengenai patching, dan penubuhan pasukan petugas SEBI. 3940554923

Namun, beberapa dakwaan lebih luas tidak disokong dengan pengesahan sumber primer yang kukuh. Ini termasuk aturan akses yang didakwa melibatkan ENISA, amaran awal yang didakwa daripada Microsoft, latihan “senario terburuk” oleh Perbendaharaan AS, dan kerangka keselamatan AI AS yang khusus pada Jun. Dakwaan tersebut wajar ditangani dengan berhati-hati selagi dokumen rasmi tidak tersedia.

Anthropic sememangnya menyatakan akses kepada Fable 5 dan Mythos 5 pernah digantung sebelum dipulihkan selepas kawalan eksport ditarik balik pada 30 Jun. Perkembangan itu tidak sepatutnya dianggap sebagai bukti kewujudan kerangka keselamatan AI AS yang lebih luas. 3537

Kesimpulan: jangan tunggu CVE muncul

Pengajaran praktikal daripada episod Mythos ialah patching tidak lagi boleh dianggap semata-mata sebagai reaksi kepada notis kelemahan awam. Jika AI benar-benar mempercepat pencarian kelemahan yang belum ditemui, pasukan keselamatan perlu mengandaikan sebahagian kelemahan boleh dikenal pasti secara sulit sebelum CVE, notis vendor atau kemas kini tersedia.

Itu tidak menjadikan patching sia-sia. Sebaliknya, ia meningkatkan nilai disiplin asas: keterlihatan aset, pembaikan pantas, konfigurasi selamat, pengasingan rangkaian, sandaran yang diuji, akauntabiliti pembekal dan saluran pendedahan yang pantas. Dalam persekitaran ancaman yang dibantu AI, keupayaan inilah yang menentukan sama ada penemuan kelemahan menjadi isu kejuruteraan yang boleh diurus atau krisis daya tahan sistemik.