Andrew Ng mengumumkan versi baru OpenWorker, agen desktop open source buatannya, yang dibangun di sekitar sejumlah fitur berorientasi keamanan. Alasan yang ia kemukakan: setelah versi pertama dirilis, banyak pengguna mendapati alat ini ternyata sangat cocok dipakai untuk pekerjaan keamanan siber. Jika pihak penyerang sudah memakai AI, pihak bertahan pun sepatutnya mendapat daya ungkit yang setara.
OpenWorker tidak mengambil jalur kotak obrolan. Begitu pengguna memberikan sebuah tugas, agen ini memecahnya sendiri menjadi langkah-langkah, bekerja lintas berkas, terminal, dan aplikasi yang sudah terhubung, lalu mengembalikan hasil yang langsung bisa dipakai. Proyek ini dibuka sebagai open source pada Juli di bawah lisensi MIT, kini berada di tahap open beta, dan sudah mengumpulkan 16.400 bintang di GitHub. Versi desktopnya mendukung macOS 12 ke atas (Apple Silicon, sudah ditandatangani dan dinotarisasi) serta build x64 untuk Windows 10/11, sementara penandatanganan kode untuk versi Windows masih dalam proses.
Bukan Cuma Kode, Dependensi Juga Dipindai
Peran khusus yang mendapat prioritas utama di versi baru ini disebut "security review". Menurut dokumentasi repositorinya, peran ini melakukan dua hal: menggabungkan pemindai deterministik dengan penalaran model untuk menyisir codebase sekaligus dependensinya guna menemukan risiko yang sebenarnya. Sisi dependensi ini menyasar serangan injeksi rantai pasok, yaitu kode berbahaya yang diselundupkan ke dalam paket pihak ketiga. Insiden semacam ini cukup sering muncul di ekosistem open source dalam setahun terakhir, sementara memeriksa setiap pohon dependensi secara manual sudah nyaris mustahil dilakukan manusia.
Aturan pada tahap perbaikan dibuat lebih ketat lagi. Dokumentasinya menyebutkan bahwa perbaikan yang diajukan agen harus dipindai ulang dan lolos peninjauan diff sebelum disetujui, dan agen yang membuat perbaikan tersebut tidak pernah menjadi satu-satunya pemeriksa.
Batasan ini menyasar satu masalah spesifik: AI menilai pekerjaan rumahnya sendiri. Kalau model yang sama menulis patch sekaligus menilai patch itu, hasilnya memang terlihat lengkap, tetapi pada dasarnya hanya pengesahan diri sendiri, karena model itu tetap buta terhadap apa yang terlewat olehnya sejak awal. Menjaga alat deterministik seperti pemindai tetap ada dalam alur kerja berarti menambahkan lapisan pembanding yang tidak kenal kompromi terhadap penilaian model.
Empat Tingkat Izin, Otonomi Didapat Bertahap
Setiap pemanggilan tool dikelompokkan ke salah satu dari empat kategori risiko: read, write_local, exec, dan external. Di atasnya ada lima mode izin: discuss dan plan hanya bisa membaca; interactive adalah mode bawaan yang selalu bertanya dulu sebelum melakukan operasi tulis; auto mengizinkan semuanya secara otomatis dalam ruang lingkup path tertentu; dan custom memungkinkan pengguna menetapkan tool spesifik yang dipercaya untuk disetujui otomatis.
Aturan tata kelolanya dipatok dalam tiga lapis:
- Batas mutlak: operasi yang berbahaya dan tidak bisa dibalik selalu menjadi wewenang manusia, apa pun mode yang sedang aktif.
- Otonomi bertahap: semua tindakan secara bawaan memerlukan persetujuan; persetujuan sekali pakai bisa dinaikkan menjadi aturan tetap, dan baru di atas itu tindakan tersebut masuk ke daftar putih yang dikonfigurasi.
- Jejak audit: setiap pemanggilan tool mencatat asal persetujuannya, apakah disetujui otomatis, disetujui pengguna, atau ditolak.
Ada satu aturan tambahan: tidak ada persetujuan otomatis saat berjalan tanpa pengawasan. Jika agen berjalan semalaman dan menemui tindakan yang berdampak nyata, prompt yang tidak terjawab akan masuk ke kotak masuk untuk menunggu peninjauan; izin tidak akan melonggar begitu saja hanya karena tidak ada orang yang memantau.
Membawa Perkakas Kelas Raksasa Teknologi ke Laptop
Sepanjang setahun terakhir, berita tentang AI yang menemukan kerentanan sebagian besar milik raksasa teknologi berbasis model tertutup: ada yang menemukan bug berusia lebih dari dua puluh tahun, ada pula yang menandai puluhan ribu isu berisiko tinggi dalam sebulan. Semuanya menjalankan model terkuat masing-masing perusahaan lewat jalur penjualan enterprise, dengan harga dan syarat akses yang sudah ditentukan. OpenWorker mengambil jalur berbeda: berjalan lokal, open source, berlisensi MIT, dan kodenya bisa diaudit.
Bagi tim keamanan, fakta bahwa perangkat ini sendiri bisa diaudit sama pentingnya dengan kemampuan pemindaiannya. Sebuah agen yang bisa membaca seluruh codebase, menjalankan perintah, dan mengirim permintaan keluar, secara alami adalah jalur eksfiltrasi yang ideal. Jika agen itu berupa kotak hitam, maka semakin banyak kerentanan yang ditemukannya, semakin sulit pula menilai risiko dari memberinya akses sejak awal. Di sinilah open source berfungsi lebih sebagai syarat kelayakan ketimbang sekadar sikap.
Ada dua hal yang masih belum tersedia dari informasi publik saat ini: repositorinya tidak mencantumkan nomor versi spesifik untuk rilis baru ini, dan belum ada angka independen dari pihak ketiga soal seberapa akurat kemampuan pemindaiannya di benchmark publik. Sebelum menghubungkannya ke CI, menjalankannya beberapa putaran di lingkungan terisolasi lebih dulu adalah langkah yang lebih aman.
Sumber: dokumentasi repositori resmi OpenWorker, CocoLoop, MarkTechPost, Help Net Security; rincian tingkat izin, struktur tata kelola tiga lapis, dan peran security review diperiksa satu per satu sesuai penjelasan repositori.