Departemen Keuangan Bergegas Mengakses AI Anthropic 'Mythos' Setelah Peringatan Itu Dapat Meretas "Setiap Sistem Operasi Utama"

Departemen Keuangan AS bergegas mengakses AI Anthropic PBC 'Mythos' yang sangat dibatasi agar dapat mulai memburu kerentanan perangkat lunak, menurut seorang sumber yang mengetahui situasi tersebut yang dikutip oleh Bloomberg.
Ilustrasi melalui WIRED

Chief Information Officer Departemen Keuangan Sam Corcos memberi pengarahan kepada tim keamanan siber departemen minggu lalu dan telah mengarahkan upaya untuk mendapatkan akses ke model "sesegera mungkin minggu ini."

Permintaan ini datang beberapa hari setelah Menteri Keuangan Scott Bessent dan Ketua Federal Reserve Jerome Powell memanggil para CEO Wall Street teratas ke pertemuan mendesak di markas Departemen Keuangan. Para eksekutif diperingatkan bahwa Mythos dan model AI perbatasan serupa dapat membawa era baru risiko dunia maya yang meningkat. Anthropic sendiri telah memperingatkan bahwa model tersebut mungkin mampu mendukung serangan dunia maya yang canggih kecuali perusahaan secara proaktif menguji model tersebut terhadap sistem mereka sendiri dan membangun pertahanan sebelum rilis yang lebih luas.

Dalam pertemuan tersebut, para pemimpin bank sangat didorong untuk menganggap serius model tersebut dan menggunakannya secara internal untuk mendeteksi kerentanan.

Apa Itu Mythos dan Mengapa Pembatasan Tersebut?

Anthropic memperkenalkan Mythos (juga disebut sebagai Claude Mythos Preview) sebagai bagian dari inisiatif Project Glasswing barunya. Dalam pengujian internal, model tersebut menunjukkan kemampuan keamanan dunia maya ofensif yang luar biasa: model tersebut mampu mengidentifikasi dan mengeksploitasi kerentanan “di setiap sistem operasi utama dan setiap browser web utama ketika diarahkan untuk melakukannya oleh pengguna.” Dalam satu kasus terdokumentasi, model tersebut menulis eksploit browser web yang berhasil merangkai empat kerentanan terpisah.

Project Glasswing menyatukan Amazon Web Services (AWS), Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, Linux Foundation, Microsoft, NVIDIA, dan Palo Alto Networks untuk mengatasi kekhawatiran yang berkembang dalam komunitas keamanan dunia maya bahwa model AI sekarang mampu menemukan dan mengeksploitasi kerentanan dengan kecepatan yang lebih cepat daripada yang dapat diimbangi oleh manusia.

...

Menurut postingan di situs web Anthropic, keterampilan pengkodean dan penalaran agen model yang kuat memungkinkannya untuk mengungkap dan mengeksploitasi kelemahan keamanan yang telah ada selama bertahun-tahun, bahkan beberapa dekade tanpa terdeteksi. Hasil tolok ukur yang dikutip oleh perusahaan menunjukkan kesenjangan kinerja yang signifikan antara Mythos Preview dan model sebelumnya dalam tugas-tugas terkait keamanan dunia maya. -cxtoday.com

Apa yang Ditemukan Mythos: Temuan Utama dari Pengujian Red Team

Dalam pengujian terkontrol terhadap basis kode nyata di kontainer terisolasi, model tersebut secara otonom mengidentifikasi ribuan kerentanan nol hari di setiap sistem operasi utama dan setiap browser web utama. Pengujian tersebut menggunakan alur kerja agen: prioritas file berdasarkan peringkat kemungkinan kerentanan 5 tingkat, invokasi Claude Code paralel, dan validasi sekunder untuk tingkat keparahan dan kemampuan eksploitasi.

Penemuan Nol Hari yang Menonjol Termasuk:

Kerentanan crash jarak jauh berusia 27 tahun di OpenBSD (pemrosesan TCP SACK): Luapan bilangan bulat dalam perbandingan nomor urutan TCP yang ditandatangani yang memungkinkan dereferensi penunjuk nol dan penolakan layanan jarak jauh terhadap host mana pun yang merespons. Bug tersebut selamat dari puluhan tahun peninjauan kode manual dan kampanye fuzzing ekstensif.
Bug berusia 16 tahun di FFmpeg (parser H.264): Bentrokan nomor irisan yang memicu penulisan tumpukan di luar batas saat memproses bingkai yang dibuat dengan 65.536+ irisan. Kerentanan tersebut berasal dari tahun 2003, menjadi dapat dieksploitasi setelah refaktor tahun 2010, dan telah menghindari deteksi meskipun alat pengujian otomatis mengenai jalur yang rentan lima juta kali.
Eksekusi Kode Jarak Jauh FreeBSD NFS berusia 17 tahun (CVE-2026-4747): Luapan buffer tumpukan dalam autentikasi RPCSEC_GSS (buffer 96-byte untuk input 304-byte) dikombinasikan dengan pengungkapan informasi NFSv4. Mythos secara otonom membangun rantai ROP 20-gadget yang tersebar di enam permintaan RPC berurutan — sebuah prestasi yang hanya dapat dicapai oleh model sebelumnya (Claude Opus 4.6) dengan panduan manusia yang signifikan.
Hasil Pengujian Mesin JavaScript Firefox sangat dramatis:

Claude Opus 4.6: Mengembangkan hanya 2 eksploit yang berfungsi dari beberapa ratus percobaan.
Mythos Preview: Mengembangkan 181 eksploit yang berfungsi dan mencapai kontrol register dalam 29 kasus tambahan.
Hasil OSS-Fuzz menunjukkan lompatan serupa:

Mythos menghasilkan 595 crash tingkat 1/2 (plus beberapa tingkat 3–5), termasuk beberapa hijack aliran kontrol tingkat 5 (eksekusi kode arbitrer penuh) pada target yang sepenuhnya dipatch.
Penemuan ini dicapai dengan biaya yang sangat rendah — banyak operasi nol hari individu menelan biaya kurang dari $50, dengan kampanye pengujian OpenBSD penuh di bawah $20.000 dan eksploit kernel Linux N-day di bawah $2.000 masing-masing.

Karena risiko penggunaan ganda, Anthropic belum merilis Mythos untuk umum. Sebaliknya, model tersebut disediakan berdasarkan basis yang sangat terbatas melalui Project Glasswing kepada sekelompok organisasi terpilih — termasuk perusahaan teknologi utama, perusahaan keamanan dunia maya, JPMorgan Chase, dan Linux Foundation — hanya untuk tujuan defensif (memindai sistem mereka sendiri untuk menemukan dan menambal cacat sebelum penyerang dapat mengeksploitasinya). Anthropic telah berkomitmen hingga $100 juta dalam kredit penggunaan untuk mendukung upaya ini.

Beberapa lembaga keuangan besar telah mulai melakukan pengujian internal:

JPMorgan Chase secara terbuka disebutkan sebagai bagian dari Project Glasswing.
Goldman Sachs, Citigroup, Bank of America, dan Morgan Stanley juga telah mendapatkan akses atau sedang dalam proses, menurut orang-orang yang mengetahui masalah tersebut.
Perusahaan tersebut menyatakan dalam pengumuman Project Glasswing bahwa pihaknya telah melakukan “diskusi yang sedang berlangsung” dengan pejabat pemerintah tentang model tersebut dan “siap untuk bekerja sama dengan perwakilan lokal, negara bagian, dan federal.”

Penunjukan Risiko Rantai Pasokan Pentagon

Dorongan Departemen Keuangan untuk mendapatkan akses sangat mencolok karena Pentagon secara formal menunjuk Anthropic sebagai risiko rantai pasokan AS awal tahun ini menyusul perselisihan tentang bagaimana teknologi AI perusahaan dapat digunakan oleh militer. Departemen Pertahanan memberi Anthropic jangka waktu enam bulan untuk mentransisikan layanannya ke penyedia lain. Anthropic secara aktif menentang penunjukan tersebut di pengadilan federal.

Terlepas dari hal ini, Corcos - yang sebelumnya mendorong penggunaan alat AI Claude Anthropic di dalam Departemen Keuangan sebelum label Pentagon - sekarang mendorong upaya departemen untuk menyelidiki Mythos.

* * *

Tyler Durden
Sel, 04/14/2026 - 10:40