CEO watchTowr Ben Harris menyampaikan pesan yang tajam: dengan model publik dan orkestrasi yang cerdas, orang sudah bisa mereplikasi jenis kerentanan yang ditemukan Mythos, dengan hasil yang sangat, sangat dekat. Pernyataan yang dikutip CNBC pada 8 Mei itu muncul setelah beberapa minggu kegelisahan di sekitar Claude Mythos Preview, model nonpublik dari Anthropic. Bank, regulator, dan raksasa teknologi memperlakukannya seperti guncangan siber baru. Harris menyebut reaksinya sebagai hysteria.
Mengapa Mythos Membuat Pasar Gugup
Claude Mythos Preview, yang diungkap Anthropic pada April, adalah model frontier tertutup yang hanya diberikan kepada 40 organisasi luar, termasuk Apple, Amazon, JPMorgan, dan Palo Alto Networks. Dalam pengujian terhadap Firefox, model ini menemukan 271 kerentanan baru, termasuk satu celah yang tidak terdeteksi selama 27 tahun. Evaluasi Anthropic menyebut Mythos menghasilkan exploit yang dapat digunakan sebanyak 181 kali pada set kerentanan Firefox dan memperoleh kendali register pada 29 kasus lainnya.
Setelah angka itu beredar, rapat digelar di Bank Sentral Eropa, regulator Asia, dan Gedung Putih. Jerome Powell dan Scott Bessent memanggil para pemimpin Wall Street, memo internal FBI bocor, dan penasihat sains Donald Trump ikut terseret. Lalu para praktisi keamanan yang benar-benar memahami lapangan mulai berbicara.
Model Lama Sudah Bisa Melakukannya
Argumen utama Harris sederhana. Mythos memang mengotomatiskan alur kerja dari ujung ke ujung, tetapi klaim bahwa AI bisa menemukan zero-day dalam kode produksi sudah benar sejak tahun lalu. Anthropic sendiri menulis pada blog Februari bahwa Claude Opus 4.6, model yang tersedia untuk semua pengguna berbayar, telah menemukan lebih dari 500 kerentanan berisiko tinggi di perangkat lunak open source. Pada 2025, riset akademik dan red-team juga menunjukkan GPT-4o serta Claude 3.7, ketika dipasangkan dengan kerangka analisis statis, mampu mencari zero-day secara otomatis. Menurut Harris, kelompok APT negara dan geng ransomware matang sudah menjalankan alur kerja seperti ini secara internal; mereka hanya tidak menerbitkan siaran pers.
Dalam beberapa minggu terakhir, Harris mengatakan pertanyaan dari bank, perusahaan asuransi, dan regulator hampir selalu sama: apakah Anthropic harus segera diblokir, dan apakah repositori kode kami sudah dipindai? Jawabannya konsisten: lawan Anda sudah melakukan ini tiga bulan lalu, dan memblokir Anthropic tidak menghentikan pihak lain memindai kode Anda.
Perubahan Nyata dari Mythos
Jika hype disisihkan, Mythos berbeda dalam dua hal. Pertama, kecepatan dan hambatan masuk. Untuk mencari satu zero-day dengan Opus 4.6, dibutuhkan insinyur keamanan yang memahami exploit, plus skrip dan iterasi berulang. Satu celah bisa memakan waktu berhari-hari hingga berminggu-minggu. Mythos memungkinkan insinyur junior dengan pengalaman exploit development terbatas bergerak dari penemuan hingga exploit yang berfungsi dalam satu malam. Penurunan biayanya besar.
Kedua, skala. Opus 4.6 lebih bersifat terarah, sedangkan Mythos memindai ratusan target secara paralel. Ketika dua kurva itu bertemu, ritme serangan dan pertahanan berubah. Pembela yang dulu punya waktu berbulan-bulan untuk menambal celah kini mungkin hanya punya beberapa hari, bahkan beberapa jam. Namun poin Harris adalah perubahan ini bukan lompatan mendadak, melainkan kelanjutan tren 2025.
Mengapa Anthropic Membesarkan Pesannya
Posisi resmi Anthropic adalah memberi peringatan secara bertanggung jawab. Mythos dibatasi untuk 40 perusahaan dan dipasangkan dengan aliansi Project Glasswing yang melibatkan AWS, Apple, Microsoft, Google, CrowdStrike, dan Palo Alto Networks, sehingga pihak defensif mendapat akses lebih dulu.
Namun sebagian komunitas keamanan melihat strategi di balik narasi itu. Satu pembacaan: Anthropic ingin menjadikan "senjata siber AI" sebagai isu khasnya dan memberi regulator serta Wall Street alasan untuk menganggap perusahaan itu wajib dibeli atau diajak kerja sama. Pembacaan lain: Anthropic ingin menarik pesaing, terutama model terbuka dan perusahaan seperti DeepSeek yang pernah dipertanyakan asal datanya, ke dalam kerangka regulasi yang lebih ketat. Harris tidak secara langsung menuduh Anthropic melebih-lebihkan. Pilihan katanya lebih sempit: reaksinya yang hysteria, bukan semata perusahaan yang merilis model.
Sinyal yang Sebenarnya
Bagian terpenting dari episode ini bukan Mythos itu sendiri. Yang penting adalah industri kini memperlakukan pencarian zero-day berbantuan AI sebagai asumsi dasar. Ini bukan kemungkinan masa depan; ini sudah terjadi sekarang.
Logika operasional pun berubah. Siklus pengungkapan kerentanan akan makin pendek, memaksa CISA dan vendor mendesain ulang SLA respons. Pemasok perangkat lunak tidak bisa lagi berasumsi bahwa kode lama mereka terlalu tidak menarik untuk diperiksa. Pasar alat red-team akan bergeser dari menjual tenaga manusia menjadi menjual model plus orkestrasi. Harga asuransi siber juga harus berubah karena AI meratakan kurva biaya bagi penyerang.
Hal berikutnya yang perlu diperhatikan adalah bagaimana Anthropic menceritakan Mythos pada laporan kuartal ketiga. Jika keamanan siber AI disebut sebagai lini bisnis baru dan penjelasan pendapatan mulai condong ke sana, niat komersial di balik hysteria ini akan jauh lebih mudah dibaca.
Sumber: Anthropic's Mythos set off a cybersecurity 'hysteria.' Experts say the threat was already here (CNBC); CocoLoop; Our evaluation of Claude Mythos Preview's cyber capabilities (UK AISI)