JAKARTA — Perusahaan pengembang kecerdasan buatan (AI) Anthropic berhasil memanfaatkan model bahasa tingkat lanjutnya, Claude, untuk memindai dan menganalisis 25 proyek perangkat lunak sumber terbuka (open source) utama. Dalam analisis yang mencakup lebih dari lima juta baris kode tersebut, Claude berhasil mengidentifikasi hampir 500 masalah keamanan, termasuk satu cacat konfigurasi berbahaya yang telah tersembunyi selama 21 tahun.
Laporan dari Telset.id mengungkapkan bahwa riset Anthropic ini tidak sekadar berfokus pada pencarian bug biasa, melainkan mendorong pendekatan baru dalam memperkecil area serangan (attack surface) perangkat lunak secara otomatis.
Fokus Riset Anthropic: Tiga Jalur Paparan Kode Berbahaya
1. Inventarisasi dan Reduksi Area Serangan
Dalam pengujian berbasis bahasa pemograman C, C++, Java, PHP, dan Python ini, Claude menginventarisasi lebih dari 17.000 opsi konfigurasi, di mana 3.842 di antaranya berkaitan langsung dengan kontrol keamanan. Riset ini memetakan tiga jalur utama kerentanan:
-
Fitur Default Tak Terpakai: Fitur yang secara otomatis aktif dalam konfigurasi bawaan padahal tidak dibutuhkan.
-
Konflik Pengaturan: Kombinasi beberapa opsi pengaturan berbeda yang jika digabungkan justru menonaktifkan fitur pertahanan siber.
-
Kode Sebelum Autentikasi (Pre-Authentication): Eksekusi kode sensitif dan kompleks yang dapat diakses pengguna sebelum melewati proses verifikasi identitas.
2. Temuan Cacat Konfigurasi Berusia 21 Tahun
Dari seluruh proyek yang memproses akses pengguna terautentikasi, Anthropic menemukan 93 area serangan pre-authentication pada pengaturan default. Salah satu temuan paling krusial adalah adanya bentrokan dua pengaturan pada suatu sistem—di mana satu pengaturan mewajibkan sertifikat klien, sementara pengaturan lain justru menonaktifkannya tanpa memberikan peringatan indikasi bahaya. Cacat ini bertahan tanpa terdeteksi selama lebih dari dua dekade.
Studi Kasus OpenSSH dan Rencana Integrasi Fitur OSS-Scanner
1. Perbaikan Kode Pada OpenSSH Versi 10.6
Perangkat lunak akses jarak jauh populer, OpenSSH, menjadi salah satu studi kasus utama. Claude mendeteksi bahwa daemon OpenSSH dapat mengakses sekitar 4.500 baris kode eksperimental berbasis algoritma pasca-kuantum sebelum memeriksa apakah algoritma tersebut diizinkan oleh server.
-
Respon Cepat Pengembang: Setelah Anthropic melaporkan temuan ini, tim pengembang OpenSSH merilis pembaruan pada versi 10.6, yang berhasil mengisolasi dan memangkas hingga 20 persen kode agar tidak dapat dijangkau oleh klien yang belum terautentikasi.
“Mengurangi area serangan yang tidak perlu di dalam kode secara otomatis akan menekan risiko dari seluruh kerentanan yang belum diketahui sekaligus,” tegas tim peneliti Anthropic dalam laporan resminya.
Integrasi Layanan Pemindaian Gratis OSS-Scanner
Anthropic mengonfirmasi bahwa seluruh teknik analisis keamanan yang diterapkan oleh Claude telah dibungkus menjadi sebuah keahlian (skill) khusus. Kemampuan ini akan segera diintegrasikan ke dalam OSS-Scanner, yaitu layanan pemindaian keamanan gratis berbasis AI milik Anthropic yang diperuntukkan bagi proyek-proyek open source di seluruh dunia.
Dengan memanfaatkan sistem dynamic program tracing, sistem AI ini akan memvalidasi setiap temuan secara otomatis serta menguji usulan perbaikan kode sebelum diserahkan kepada pengembang manusia untuk ditinjau akhir.
Comment