Anthropic Meluncurkan Proyek Project Glasswing senilai $100 juta bersama 12 raksasa teknologi untuk memperbaiki kerentanan perangkat lunak global

Penulis: Anthropic

Compile: DeepFlow Tech

DeepChain Overview: Anthropic meluncurkan model canggih yang belum dirilis, Claude Mythos Preview, yang kemampuan audit kodenya telah melampaui sebagian besar ahli keamanan manusia, mampu menemukan kerentanan nol-hari yang telah ada selama puluhan tahun.

Berdasarkan kemampuan ini, Anthropic bekerja sama dengan AWS, Apple, Google, Microsoft, NVIDIA, dan 12 perusahaan teknologi besar lainnya meluncurkan inisiatif Project Glasswing, dengan menyediakan kredit senilai 100 juta dolar AS, bertujuan untuk menutup kerentanan perangkat lunak kritis global sebelum penyerang memperoleh kemampuan yang setara.

Hari ini kami mengumumkan Project Glasswing, inisiatif baru yang menggabungkan Amazon Web Services (AWS), Anthropic, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorgan Chase, Linux Foundation, Microsoft, NVIDIA, dan Palo Alto Networks untuk melindungi keamanan perangkat lunak paling kritis di seluruh dunia.

Kami meluncurkan Project Glasswing karena model mutakhir yang dilatih oleh Anthropic menunjukkan kemampuan yang kami percaya dapat mengubah lanskap keamanan siber. Claude Mythos Preview adalah model mutakhir yang bersifat umum dan belum dirilis, yang mengungkapkan fakta kejam: kemampuan pemrograman model AI telah mencapai tingkat di mana mereka dapat mengungguli semua orang kecuali para ahli paling unggul dalam menemukan dan memanfaatkan kerentanan perangkat lunak.

Mythos Preview telah menemukan ribuan kerentanan berisiko tinggi, mencakup setiap sistem operasi utama dan setiap browser utama. Menurut kecepatan kemajuan AI, kemampuan semacam ini akan menyebar dalam waktu dekat, kemungkinan besar jatuh ke tangan pengguna yang tidak bertanggung jawab. Dampaknya terhadap ekonomi, keamanan publik, dan keamanan nasional bisa sangat serius. Project Glasswing adalah upaya mendesak untuk memprioritaskan penggunaan kemampuan ini demi pertahanan.

Sebagai bagian dari Project Glasswing, mitra-mitra di atas akan menggunakan Mythos Preview dalam pekerjaan keamanan defensif mereka; Anthropic akan berbagi pembelajaran yang diperoleh agar seluruh industri dapat memperoleh manfaat. Kami juga membuka akses kepada lebih dari 40 organisasi lain yang membangun atau memelihara infrastruktur perangkat lunak kritis, agar mereka dapat memindai dan memperkuat sistem mereka sendiri serta sistem open source. Anthropic berkomitmen menyediakan kuota penggunaan Mythos Preview hingga senilai $100 juta, serta donasi langsung sebesar $4 juta kepada organisasi keamanan open source.

Project Glasswing hanyalah permulaan. Tidak ada lembaga yang dapat menyelesaikan masalah keamanan siber sendirian: pengembang AI mutakhir, perusahaan perangkat lunak lain, peneliti keamanan, pemelihara open source, serta pemerintah di seluruh dunia semuanya memiliki peran yang tak tergantikan. Pertahanan infrastruktur jaringan global mungkin memerlukan bertahun-tahun; sementara kemampuan AI mutakhir kemungkinan besar akan melompat pesat dalam beberapa bulan mendatang. Para pembela siber harus bertindak sekarang juga untuk mendapatkan keunggulan.

Perangkat lunak yang kita andalkan setiap hari—yang menjalankan sistem perbankan, menyimpan rekam medis, menghubungkan jaringan logistik, dan menjaga operasi jaringan listrik—selalu memiliki bug. Sebagian besar tidak penting, tetapi beberapa adalah kelemahan keamanan serius yang, jika ditemukan, memungkinkan penyerang mengambil alih sistem, menghentikan operasi, atau mencuri data.

Dampak merusak dari serangan siber terhadap jaringan perusahaan, sistem medis, infrastruktur energi, infrastruktur transportasi, serta lembaga pemerintah di berbagai negara telah terlihat jelas. Secara global, serangan berskala nasional dari Tiongkok, Iran, Korea Utara, dan Rusia telah mengancam infrastruktur yang mendukung kehidupan sipil dan kesiapan militer. Bahkan serangan kecil terhadap satu rumah sakit atau sekolah dapat menyebabkan kerugian ekonomi besar, eksposur data sensitif, atau bahkan mengancam nyawa. Kerugian ekonomi tahunan akibat kejahatan siber global sulit dihitung secara tepat, tetapi kemungkinan sekitar 500 miliar dolar AS.

Di masa lalu, banyak kelemahan perangkat lunak tidak terdeteksi selama bertahun-tahun karena menemukan dan memanfaatkannya memerlukan keahlian yang hanya dimiliki oleh sejumlah kecil ahli keamanan. Namun, dengan munculnya model AI terkini, biaya, usaha, dan hambatan keahlian yang diperlukan untuk menemukan dan memanfaatkan kerentanan perangkat lunak telah berkurang secara signifikan. Sepanjang tahun lalu, model AI semakin kuat dalam membaca dan bernalar kode, terutama dalam menemukan kerentanan dan merancang cara pemanfaatan yang menakjubkan. Claude Mythos Preview mencapai lompatan besar dalam keterampilan keamanan siber ini—beberapa kerentanan yang ditemukannya tetap bertahan meskipun telah ditinjau oleh manusia selama puluhan tahun dan melalui jutaan tes keamanan otomatis, sementara kode pemanfaatan yang dikembangkannya semakin canggih.

Sepuluh tahun setelah DARPA Cyber Grand Challenge pertama, model AI mutakhir kini mendekati atau bahkan menyamai kemampuan manusia teratas dalam menemukan dan memanfaatkan kerentanan. Tanpa langkah keamanan yang diperlukan, kemampuan siber yang kuat ini dapat dimanfaatkan untuk mengeksploitasi sejumlah besar kelemahan yang ada dalam perangkat lunak paling penting di seluruh dunia. Serangan siber akan menjadi lebih sering, lebih merusak, dan memberikan kekuatan kepada lawan-lawan Amerika Serikat dan sekutunya. Ini adalah prioritas keamanan yang harus diperhatikan oleh negara-negara demokratis.

Berita baiknya: kemampuan yang membuat model AI berbahaya jika berada di tangan yang salah, justru membuatnya sangat berharga dalam menemukan dan memperbaiki cacat perangkat lunak penting—juga membantu menghasilkan perangkat lunak baru dengan lebih sedikit bug keamanan. Project Glasswing merupakan langkah penting untuk memberikan keunggulan berkelanjutan kepada para pembela di era keamanan siber yang didorong oleh AI yang akan datang.

Dalam beberapa minggu terakhir, kami menggunakan Claude Mythos Preview untuk menemukan ribuan kerentanan nol-hari (cacat yang sama sekali tidak diketahui oleh pengembang perangkat lunak sebelumnya) di setiap sistem operasi utama, setiap browser utama, dan sejumlah perangkat lunak penting lainnya, banyak di antaranya berlevel tinggi.

Di Frontier Red Team Blog, kami mengungkapkan detail teknis sebagian kerentanan yang telah diperbaiki, serta cara eksploitasi yang ditemukan oleh Mythos Preview. Hampir semua kerentanan ini (serta pengembangan banyak cara eksploitasi terkait) ditemukan sepenuhnya secara mandiri oleh model, tanpa bimbingan manusia sama sekali. Berikut tiga contohnya:

• Mythos Preview menemukan kerentanan yang telah ada selama 27 tahun di OpenBSD. OpenBSD dikenal karena tingkat pemadatan keamanan yang sangat tinggi dan banyak digunakan dalam firewall serta infrastruktur kritis lainnya. Kerentanan ini memungkinkan penyerang untuk secara jarak jauh membuat mesin target macet hanya dengan menghubungkan diri ke mesin tersebut.
• It also discovered a 16-year-old vulnerability in FFmpeg. FFmpeg is used by countless software for video codec. The issue lies in a single line of code, and automated testing tools have hit this line of code 5 million times without ever detecting the problem.
• Model ini secara mandiri menemukan dan menghubungkan beberapa kerentanan di dalam kernel Linux (kernel Linux menjalankan sebagian besar server di seluruh dunia), mencapai serangan peningkatan hak akses dari izin pengguna biasa hingga kendali penuh atas mesin.

Kami telah melaporkan semua kerentanan tersebut kepada pemelihara perangkat lunak terkait, dan semuanya telah diperbaiki. Untuk banyak kerentanan lainnya, kami hari ini menyediakan hash enkripsi rinci (lihat blog Red Team), dan informasi spesifik akan diumumkan setelah perbaikan selesai.

Benchmark seperti CyberGym juga memverifikasi kesenjangan signifikan antara Mythos Preview dan model terkuat kedua kami, Claude Opus 4.6:

Reproduksi kerentanan keamanan siber - CyberGym

Selain pekerjaan kami sendiri, banyak mitra juga telah menggunakan Claude Mythos Preview selama beberapa minggu. Berikut adalah umpan balik mereka:

Kemampuan AI telah melampaui ambang batas, secara mendasar mengubah tingkat urgensi yang diperlukan untuk melindungi infrastruktur kritis dari ancaman siber, dan perubahan ini tidak dapat dibalik. Kami menunjukkan melalui pekerjaan dasar dengan model-model ini bahwa kerentanan keamanan di perangkat keras dan perangkat lunak dapat diidentifikasi dan diperbaiki dengan kecepatan dan skala yang belum pernah terjadi sebelumnya. Ini adalah perubahan mendalam dan sinyal yang jelas: metode penguatan sistem lama sudah tidak lagi memadai. Penyedia teknologi harus segera secara aktif mengadopsi pendekatan baru, dan pelanggan juga perlu bersiap untuk penerapannya. Inilah mengapa Cisco bergabung dengan Project Glasswing—pekerjaan ini terlalu penting dan terlalu mendesak untuk dilakukan sendiri.

—— Anthony Grieco, Wakil Presiden Senior dan Chief Security & Trust Officer Cisco

Di AWS, kami membangun pertahanan sebelum ancaman muncul, mulai dari chip khusus hingga seluruh tumpukan teknologi. Keamanan bukanlah sesuatu yang hanya terjadi pada satu tahap, tetapi berkelanjutan dan tertanam dalam semua yang kami lakukan. Tim kami menganalisis lebih dari 400 triliun lalu lintas jaringan setiap hari untuk mendeteksi ancaman, dan AI adalah inti dari kemampuan pertahanan skala besar kami. Kami terus menguji Claude Mythos Preview dalam operasi keamanan kami sendiri, menerapkannya pada repositori kode kritis, dan ia telah membantu kami memperkuat kode. Kami membawa keahlian keamanan mendalam ke dalam kolaborasi kami dengan Anthropic dan membantu memperkuat Claude Mythos Preview agar lebih banyak organisasi dapat melanjutkan pekerjaan mereka dengan standar keamanan tertinggi.

—— Amy Herzog, Wakil Presiden dan Chief Information Security Officer Amazon Web Services

Ketika keamanan siber tidak lagi dibatasi oleh kemampuan manusia semata, peluang untuk secara bertanggung jawab menggunakan AI guna meningkatkan keamanan dan mengurangi risiko secara skala besar belum pernah terjadi sebelumnya. Bergabunglah dengan Project Glasswing dan dapatkan akses ke Claude Mythos Preview, yang memungkinkan kami mengidentifikasi dan mengurangi risiko lebih awal, memperkuat solusi keamanan dan pengembangan kami, sehingga dapat melindungi pelanggan dan Microsoft dengan lebih baik. Saat diuji pada standar keamanan open source kami, CTI-REALM, Claude Mythos Preview menunjukkan peningkatan signifikan dibandingkan model sebelumnya. Kami berharap dapat bekerja sama dengan Anthropic dan industri yang lebih luas untuk meningkatkan hasil keamanan bagi semua orang.

—— Igor Tsyganskiy, Wakil Presiden Eksekutif Keamanan Siber dan Riset Microsoft

Jendela waktu antara penemuan kerentanan dan eksploitasi oleh penyerang telah runtuh—yang dulu membutuhkan berbulan-bulan, sekarang bisa diselesaikan dalam beberapa menit dengan AI. Claude Mythos Preview menunjukkan kemungkinan aksi besar-besaran oleh pihak pertahanan, sementara lawan pasti akan berusaha memanfaatkan kemampuan yang sama. Ini bukan alasan untuk memperlambat, tetapi alasan untuk bersama-sama mempercepat langkah. Untuk menerapkan AI, diperlukan keamanan yang memadai. Inilah mengapa CrowdStrike terlibat sejak hari pertama.

—— Elia Zaitsev, Chief Technology Officer of CrowdStrike

Di masa lalu, keahlian keamanan adalah kemewahan yang hanya dapat dinikmati oleh organisasi dengan tim keamanan besar. Para pemelihara perangkat lunak open source—yang perangkat lunaknya mendukung sebagian besar infrastruktur kritis global—sejak dulu harus mengandalkan diri sendiri untuk menangani masalah keamanan. Perangkat lunak open source membentuk sebagian besar kode dalam sistem modern, termasuk sistem yang digunakan agen AI untuk menulis perangkat lunak baru. Dengan memberikan akses kepada para pemelihara repositori open source kritis ini terhadap model AI generasi baru—yang mampu secara aktif mengidentifikasi dan memperbaiki kerentanan secara skala besar—Project Glasswing menyediakan jalur nyata untuk mengubah situasi ini. Inilah cara keamanan yang diperkuat AI berubah dari alat eksklusif tim besar menjadi asisten andal bagi setiap pemelihara.

—— Jim Zemlin, CEO Linux Foundation

Meningkatkan keamanan siber dan ketahanan sistem keuangan adalah inti dari misi JPMorgan Chase, dan kami percaya bahwa industri paling kuat ketika lembaga terkemuka bekerja sama menghadapi tantangan bersama. Project Glasswing memberikan kesempatan awal yang unik bagi kami untuk mengevaluasi kemampuan alat AI generasi berikutnya dalam pertahanan keamanan siber infrastruktur kritis menurut standar kami, sekaligus bekerja sama dengan pemimpin teknologi yang dihormati. Kami akan mengambil pendekatan yang ketat dan independen untuk menentukan cara maju dan bagaimana memberikan bantuan. Inisiatif Anthropic mencerminkan pendekatan proaktif dan kolaboratif yang diperlukan pada saat ini.

— Pat Opet, Chief Information Security Officer JPMorgan Chase

Google senang melihat terbentuknya inisiatif keamanan siber lintas industri ini dan menyediakan Mythos Preview kepada peserta melalui Vertex AI. Kolaborasi industri dalam masalah keamanan muncul selalu sangat penting, baik dalam kriptografi pasca-kuantum, pengungkapan kerentanan nol-hari yang bertanggung jawab, keamanan perangkat lunak sumber terbuka, maupun pertahanan terhadap serangan berbasis AI. Kami selalu percaya bahwa AI membawa tantangan dan peluang baru dalam pertahanan siber, itulah sebabnya kami membangun alat berbasis AI seperti Big Sleep dan CodeMender untuk menemukan dan memperbaiki cacat perangkat lunak kritis. Kami akan terus berinvestasi pada platform keamanan siber terdepan dan budaya yang berfokus pada perlindungan pengguna, pelanggan, ekosistem, serta keamanan nasional.

—— Heather Adkins, Wakil Presiden Rekayasa Keamanan Google

Dalam beberapa minggu terakhir, kami telah menggunakan model Claude Mythos Preview untuk mengidentifikasi kerentanan kompleks yang sama sekali terlewatkan oleh model generasi sebelumnya. Ini tidak hanya mengubah aturan permainan dalam menemukan kerentanan tersembunyi, tetapi juga berarti penyerang akan segera mampu menemukan dan memanfaatkan lebih banyak kerentanan nol-hari lebih cepat dari sebelumnya. Jelas bahwa model-model ini perlu diberikan kepada pemilik proyek open source dan semua pihak pertahanan, agar kerentanan dapat ditemukan dan diperbaiki sebelum penyerang mendapatkan aksesnya. Mungkin yang lebih penting lagi: setiap orang perlu bersiap menghadapi penyerang yang dibantu AI. Serangan akan lebih banyak, lebih cepat, dan lebih kompleks. Sekarang saatnya untuk meningkatkan sistem keamanan siber secara menyeluruh. Kami menghargai Anthropic yang bekerja sama dengan industri untuk memastikan kemampuan kuat ini diutamakan untuk pertahanan.

—— Lee Klarich, Chief Product and Technology Officer, Palo Alto Networks

Claude Mythos Preview memiliki kemampuan keamanan siber yang kuat, yang berasal dari kemampuan pengkodean dan penalaran agen yang luar biasa. Hasil evaluasi berikut menunjukkan bahwa model ini mencapai skor tertinggi di antara semua model yang diketahui pada berbagai tugas pengkodean perangkat lunak.

Agent encoding

Reasoning

Pencarian agen dan penggunaan komputer

Catatan:

• SWE-bench Diverifikasi, Pro, dan Multibahasa: Penyaringan memorisasi menandai sebagian soal. Setelah mengecualikan soal-soal yang berpotensi terkena memorisasi, keunggulan Mythos Preview terhadap Opus 4.6 tetap sama.
• SWE-bench Multimodal: Menggunakan implementasi internal, skor tidak dapat dibandingkan langsung dengan peringkat publik.
• Terminal-Bench 2.0: Menggunakan kerangka Terminus-2, mode berpikir adaptif dengan upaya maksimal, anggaran total 1 juta token per tugas, sumber daya dengan rasio 1x jaminan / 3x batas atas, rata-rata 5 upaya per tugas. Setelah meningkatkan batas waktu menjadi 4 jam dan menggunakan pembaruan Terminal-Bench 2.1, skor Mythos Preview mencapai 92,1%.
• BrowseComp: Claude Mythos Preview mendapat skor lebih tinggi daripada Opus 4.6, sambil mengonsumsi hanya 1/4.9 dari jumlah token yang digunakan olehnya.
• Ujian Terakhir Manusia: Mythos tetap berkinerja baik dalam mode upaya rendah, kemungkinan ada tingkat memorisasi tertentu.

Untuk informasi lebih lanjut tentang kemampuan model, atribut keamanan, dan fitur dasarnya, lihat Claude Mythos Preview System Card.

Kami tidak berencana membuka Claude Mythos Preview untuk publik, tetapi tujuan akhir kami adalah memungkinkan pengguna untuk secara aman menerapkan model tingkat Mythos dalam skala besar—tidak hanya untuk keamanan siber, tetapi juga untuk berbagai nilai lain yang akan dibawa oleh model berkapasitas tinggi semacam ini. Untuk mencapai hal ini, kami perlu membuat kemajuan dalam mengembangkan langkah-langkah keamanan siber (dan lainnya) yang mampu mendeteksi dan mencegah output paling berbahaya dari model. Kami berencana merilis langkah-langkah keamanan baru dalam model Claude Opus mendatang, yang memungkinkan kami untuk memperbaiki dan menyempurnakan langkah-langkah ini menggunakan model yang tidak memiliki tingkat risiko setara dengan Mythos Preview.

Pembaruan hari ini adalah awal dari upaya jangka panjang. Untuk berhasil, dibutuhkan partisipasi luas dari dalam dan luar industri teknologi.

Mitra Project Glasswing akan mendapatkan akses ke Claude Mythos Preview untuk menemukan dan memperbaiki kerentanan dan kelemahan dalam sistem dasar mereka—sistem yang menyumbang sebagian besar permukaan serangan jaringan global. Fokus pekerjaan yang diharapkan meliputi deteksi kerentanan lokal, pengujian hitam biner, penguatan endpoint, dan pengujian penetrasi sistem.

Anthropic menjanjikan kredit penggunaan model senilai $100 juta untuk Project Glasswing dan peserta lainnya, yang akan mencakup penggunaan besar selama periode pra-peluncuran penelitian. Setelah itu, Claude Mythos Preview akan ditawarkan kepada peserta dengan harga $25 per juta token masukan / $125 per juta token keluaran (peserta dapat mengakses model ini melalui Claude API, Amazon Bedrock, Google Cloud Vertex AI, dan Microsoft Foundry).

Selain kuota penggunaan model, kami juga menyumbangkan $2,5 juta kepada Linux Foundation untuk Alpha-Omega dan OpenSSF, serta $1,5 juta kepada Apache Software Foundation untuk membantu para pemelihara perangkat lunak sumber terbuka menghadapi perubahan lanskap ini (pemelihara yang tertarik dapat mengajukan akses melalui program Claude for Open Source).

Kami berencana untuk terus memperluas cakupan pekerjaan ini selama beberapa bulan dan berbagi sebanyak mungkin pengalaman agar organisasi lain dapat menerapkannya dalam keamanan mereka sendiri. Mitra akan saling berbagi informasi dan praktik terbaik sejauh kondisi memungkinkan; dalam waktu 90 hari, Anthropic akan merilis laporan publik tentang temuan kami, serta kerentanan yang telah diperbaiki dan peningkatan yang dapat diungkapkan. Kami juga akan bekerja sama dengan organisasi keamanan terkemuka untuk menyusun rekomendasi praktis mengenai evolusi praktik keamanan di era AI, yang kemungkinan mencakup: proses pengungkapan kerentanan, proses pembaruan perangkat lunak, keamanan sumber terbuka dan rantai pasokan, siklus hidup pengembangan perangkat lunak dan praktik desain keamanan, standar industri yang diatur, triase skala besar dan otomatisasi, serta otomatisasi patch.

Anthropic juga terus berdiskusi dengan pejabat pemerintah AS mengenai kemampuan keamanan siber serangan dan pertahanan dari Claude Mythos Preview. Melindungi infrastruktur kritis adalah prioritas keamanan nasional utama bagi negara-negara demokratis—munculnya kemampuan keamanan siber ini kembali menunjukkan bahwa AS dan sekutunya harus mempertahankan keunggulan decisif dalam teknologi AI. Pemerintah memiliki peran tak tergantikan dalam membantu mempertahankan keunggulan ini, serta mengevaluasi dan mengurangi risiko keamanan nasional yang terkait dengan model AI. Kami bersedia bekerja sama dengan perwakilan pemerintah di semua tingkatan untuk membantu menyelesaikan tugas-tugas ini.

Kami berharap Project Glasswing dapat memicu upaya skala lebih besar yang melibatkan industri dan sektor publik, bekerja sama untuk mengatasi masalah utama terkait dampak keamanan dari model kuat. Kami mengundang anggota lain dari industri AI untuk bergabung dan membantu menyusun standar industri. Dalam jangka menengah, sebuah lembaga pihak ketiga independen—yang mampu menghimpun organisasi sektor swasta dan publik—mungkin menjadi platform ideal untuk melanjutkan pekerjaan proyek keamanan siber skala besar ini.

Catatan

1. Proyek ini dinamai berdasarkan kupu-kupu sayap kaca (Greta oto). Metafora ini memiliki dua makna: sayap transparan kupu-kupu memungkinkannya menjadi tak terlihat, seperti kerentanan yang tersembunyi dalam kode yang dibahas dalam artikel ini; sayap transparan juga membantunya menghindari bahaya, sebagaimana pendekatan transparan yang kami anjurkan.
2. Mythos berasal dari bahasa Yunani kuno, yang berarti "narasi" atau "cerita": sistem cerita yang digunakan peradaban untuk memahami dunia.
3. Profesional keamanan yang bekerja secara legal dan terdampak oleh langkah-langkah perlindungan keamanan ini dapat mengajukan permohonan untuk program verifikasi keamanan siber yang akan segera diluncurkan.