Kemarin dini hari, Anthropic meluncurkan Project Glasswing.
12 nama perusahaan berjejer: AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, Linux Foundation, Microsoft, NVIDIA, Palo Alto Networks, ditambah Anthropic sendiri. Ditambah lagi lebih dari 40 organisasi yang memelihara infrastruktur kritis — formasi seperti ini jarang terlihat di kalangan AI enterprise.
Awal mula kejadian ini cukup menarik.
Apa yang Ditemukan Mythos, Mengejutkan Semua Orang
Dalam beberapa minggu terakhir, Claude Mythos Preview secara mandiri menemukan ribuan kerentanan zero-day. Kerentanan ini mencakup setiap sistem operasi utama dan setiap peramban utama.
Tiga contoh spesifik:
- Bug berusia 27 tahun di OpenBSD: Hanya dengan koneksi jaringan, sistem bisa crash
- Celah berusia 16 tahun di kode codec video FFmpeg: Pengujian otomatis telah berjalan lebih dari 5 juta kali tanpa menemukannya; Mythos berhasil menemukannya
- Rantai multi-kerentanan di kernel Linux: Bisa meningkatkan hak akses dari pengguna biasa hingga kendali penuh sistem
Pada tolok ukur keamanan siber CyberGym, Mythos mencetak 83,1 poin. Opus 4.6 mendapat 66,6. Perbedaannya tidak bisa dijelaskan dengan 10 atau 20 poin — ini adalah lompatan kualitatif dari "bisa membantu meninjau kode" menjadi "bisa menemukan 0day sendiri."
Mereka yang akrab dengan dunia ini tahu bahwa kode FFmpeg telah berulang kali dipindai oleh tim keamanan, fuzzer, dan alat analisis statis di seluruh dunia. Kerentanan yang lolos dari 5 juta pengujian berarti metode tradisional telah mencapai batas tertentu.
Mengapa Project Glasswing Membutuhkan Aliansi
Bagian yang paling rumit ada di sini: Kemampuan Mythos adalah pedang bermata dua.
Di satu sisi, perusahaan seperti Anthropic bisa menggunakannya untuk pertahanan. Di sisi lain, siapa pun yang mampu memanggil model serupa secara teoretis bisa menggunakannya untuk menyerang. Pendekatan Anthropic sebelumnya adalah menahan diri untuk tidak merilis secara publik — hanya memberikan akses terbatas kepada sekitar 40 perusahaan.
Apa yang dilakukan Project Glasswing pada dasarnya adalah mengorganisir "pihak pertahanan" terlebih dahulu.
Di antara 12 mitra peluncuran: AWS, Microsoft, Google, Apple — ini adalah penyedia cloud; Cisco, CrowdStrike, Palo Alto Networks — raksasa keamanan siber; JPMorganChase mewakili infrastruktur kritis keuangan; bagian Linux Foundation bahkan lebih krusial, karena pemeliharaan keamanan ekosistem open-source telah lama menjadi tantangan besar.
Elia Zaitsev dari CrowdStrike menyampaikan pernyataan yang berbobot:
Jendela antara penemuan kerentanan dan eksploitasi telah runtuh — dulu butuh berbulan-bulan, sekarang hanya beberapa menit.
Jim Zemlin dari Linux Foundation juga menambahkan: Para pemelihara open-source selama ini menangani keamanan sendiri. Artinya jelas — dulu beberapa sukarelawan menjaga jutaan baris kode, sekarang model besar memindai secara otomatis, dan ritme serangan-pertahanan berada pada dimensi yang sama sekali berbeda.
Siapa Penerima Manfaat Sejati
Pasar modal sudah mulai menghitung. Mizuho menerbitkan laporan yang mendukung CrowdStrike — logikanya, Project Glasswing akan membuat perusahaan menyadari kembali nilai perlindungan endpoint. Motley Fool bertaruh pada Palo Alto Networks, melihat strategi platform dan kapasitas konsumsi token-nya (PANW memiliki 1.550 pelanggan platform, naik 35% year-over-year, dengan tingkat retensi bersih 119%).
Tapi pada akhirnya, ini bukan tentang saham mana yang naik.
Ini tentang pertanyaan berikut: Ketika model AI bisa menemukan ribuan kerentanan berisiko tinggi dalam dua minggu, siapa yang memastikan kemampuan ini sampai ke tangan pertahanan terlebih dahulu?
Jawaban Anthropic: Bentuk aliansi, biarkan perusahaan yang paling mampu melakukan patch menggunakannya terlebih dahulu, lalu perluas secara bertahap.
Detail yang Kontraintuitif
Satu hal lagi yang perlu disebutkan adalah cara kerja Mythos.
Ini bukan "tekan tombol, dapat laporan." Menurut detail teknis yang diungkapkan Anthropic, model melakukan penalaran kode tingkat lanjut sendiri, merangkai beberapa exploit menjadi rantai serangan, dan mengembangkan jalur serangan kompleks secara mandiri — semuanya tanpa arahan manusia.
Tingkat otonomi ini akan menjadi fiksi ilmiah lima tahun lalu. Hari ini, ini adalah kenyataan yang perlu segera diberi pagar pengaman.
Bug berusia 27 tahun di OpenBSD luput dari generasi peneliti keamanan. Celah FFmpeg lolos dari 5 juta pengujian. Ketika dua angka ini diletakkan berdampingan, sulit untuk tidak mempertanyakan apakah seluruh metodologi keamanan perangkat lunak tradisional perlu ditulis ulang.
Glasswing hanyalah awal. Langkah selanjutnya adalah melihat apakah 12 raksasa ini bisa membersihkan kerentanan-kerentanan ini di produk mereka sendiri sebelum dieksploitasi.
Jendela waktunya sangat sempit.
Sumber: CocoLoop, Project Glasswing: Securing critical software for the AI era (resmi Anthropic); Project Glasswing Proved AI Can Find the Bugs. Who's Going to Fix Them? (The Hacker News); CrowdStrike to rally as Anthropic spotlights AI cybersecurity threats (CNBC)