Ada kekhawatiran besar tentang model terbaru 'Mitos' dari perusahaan AI Amerika, Anthropic. Model ini diketahui sangat kuat dalam menemukan kelemahan keamanan. Ada juga penjelasan bahwa model ini bisa menghitung sendiri jalur serangan tanpa bantuan manusia. Menurut laporan, AI ini bahkan menemukan cacat sistem operasi yang terlewat oleh para ahli selama 27 tahun. Biayanya sekitar 50 dolar. Karena itu, peringatan makin besar bahwa fasilitas penting seperti jaringan listrik, sistem air, dan sistem perbankan bisa menjadi target serangan. Karena risiko ini, Anthropic tidak membuka Mitos untuk umum. Sebagai gantinya, mereka memulai proyek untuk menguji sistem pertahanan dengan memperlihatkannya secara terbatas hanya kepada sekitar 40 pihak, termasuk Apple dan Google. Di tengah ketegangan dunia, JTBC melaporkan bahwa pemerintah Korea juga mulai melakukan tanggapan darurat.
원문 보기Alasan Mythos menakutkan bukan karena 'kata-kata', tapi karena 'tindakan'
Kalau baru dengar, mungkin rasanya begini. Dulu juga sudah banyak yang bilang 'AI itu berbahaya', jadi kali ini apa yang begitu beda? Tapi inti kontroversi Mythos bukan chatbot yang pandai menjawab, melainkan AI tipe agen yang bertindak dengan menyambung banyak tahap peretasan saat diberi tujuan.
AI percakapan biasa kuat dalam menerima pertanyaan lalu menulis teks atau menjelaskan kode. Sebaliknya, dalam laporan dan bahan penjelasan, Mythos ditekankan punya fungsi seperti deteksi kerentanan (mencari bagian sistem yang lemah), penalaran jalur serangan (menghitung lewat mana masuk dan bagaimana menyebar), dan memilih jalur memutar saat gagal. Singkatnya, ini terlihat bukan seperti 'buku catatan peretas manusia', tetapi seperti 'pemain catur yang terus memilih langkah berikutnya'.
Karena itu, sampai muncul kata keras seperti 'senjata teror siber'. Alasannya berbahaya bukan karena AI tiba-tiba jadi iblis, tetapi karena proses peretasan yang tadinya sulit, mahal, dan memakan waktu bisa didorong jauh lebih murah dan cepat. Perubahan ini lebih tepat dilihat bukan sebagai cerita film horor, tetapi sebagai cerita bahwa perbedaan kecepatan dalam keamanan tiba-tiba melebar.
Inti kekhawatiran tentang Mythos bukan 'AI itu pintar', tetapi 'terus melanjutkan pilihan tahap sendiri'.
Artinya, yang dibahas adalah momen saat sifat risiko berpindah dari 'jawaban berbahaya' ke 'otomatisasi serangan nyata'.
Kalau chatbot biasa dan Mythos diletakkan berdampingan, apa bedanya?
| Item | Chatbot biasa | AI peretasan otonom seperti Mythos |
|---|---|---|
| Tujuan utama | Menjawab pertanyaan, merangkum, menulis, membantu kode | Deteksi kerentanan, menghitung jalur serangan, otomatisasi proses penyusupan |
| Cara kerja | Responsif yang bereaksi pada input pengguna | Tipe agen yang melanjutkan beberapa langkah saat diberi tujuan |
| Penanganan kegagalan | Jika ditanya lagi, akan menjawab lagi | Jika terhenti, bisa mencari jalur lain dan mengubah tindakan berikutnya |
| Risiko utama | Membuat informasi berbahaya, jawaban yang salah | Kecepatan serangan ke sistem nyata meningkat, hambatan masuk menurun |
| Cara penerapan | Banyak layanan untuk publik | Rilis terbatas, fokus pada tes mitra terpilih |
Kata 'mencari jalur serangan sendiri', dalam peretasan alurnya seperti ini
Peretasan biasanya tidak selesai dalam satu kali. Ini adalah proses membuka beberapa pintu secara berurutan, dan AI otonom lebih dekat ke sisi yang mencoba menyusun urutan itu sendiri.
Tahap 1: Pengintaian
Pertama, kumpulkan informasi sistem. Misalnya, sistem operasi apa yang dipakai, layanan apa yang terbuka, dan bagian mana yang memakai perangkat lama. Mudahnya, ini tahap saat peretas manusia membuka peta.
Tahap 2: Pemodelan lingkungan
Berdasarkan informasi yang sudah dikumpulkan, dibuat hipotesis seperti 'kelemahan apa yang mungkin ada di sini'. Di sini muncul konsep seperti graf serangan (peta yang menggambar jalur penyusupan yang mungkin).
Tahap 3: Membuat jalur yang mungkin
Bukan hanya melihat satu kerentanan, tetapi juga membuat beberapa jalur yang berlanjut dari penyusupan awal ke peningkatan hak akses, pencurian kredensial, sampai pergerakan internal. Dalam peretasan, yang benar-benar berbahaya adalah 'keterhubungan' ini.
Tahap 4: Memilih tindakan berikutnya
Pilih langkah berikutnya yang peluang berhasilnya paling tinggi. Jika alat otomatis lama lebih mirip 'menjalankan tombol yang sudah ditentukan', agen otonom mencoba melangkah sampai 'melihat situasi lalu memilih tombol berikutnya'.
Tahap 5: Memutar saat gagal
Jika satu jalur terblokir, bukan berarti selesai, tetapi bisa menghitung lagi jalan lain. Karena itu ada pendapat bahwa risikonya lebih besar pada penyebaran internal daripada pada satu kerentanan saja.
Tahap 6: Mencapai tujuan
Di akhir, arahnya menuju tujuan seperti pencurian data, melumpuhkan layanan, atau mendapatkan kendali. Jadi ini dipahami bukan sekadar 'alat', tetapi lebih seperti 'pelaku serangan yang sebagian bergerak sendiri'.
Kerentanan terus bermunculan, tapi kenapa tim pertahanan makin terasa sesak
Angka di bawah menunjukkan seberapa tidak selaras 'kecepatan penemuan' dan 'kecepatan analisis·tindakan'. Semakin besar nilainya, semakin besar beban operasionalnya.
Penyerang cukup menemukan satu titik, tapi pihak bertahan harus menjaga semuanya
| Kategori | Perubahan di pihak penyerang | Beban di pihak bertahan |
|---|---|---|
| Penemuan celah | Dengan AI, kelemahan yang lama tersembunyi juga bisa ditemukan lebih murah dan lebih cepat | Daftar untuk mengelompokkan mana yang benar-benar berbahaya meningkat sangat banyak |
| Syarat keberhasilan | Kalau hanya satu titik ditembus, bisa lanjut ke tahap berikutnya | Semua aset harus terus diperiksa dan prioritas harus ditentukan |
| Kecepatan patch | Penyerang hanya perlu bergerak lebih dulu sebelum patch | Pihak bertahan harus menyelesaikan perbaikan, distribusi, dan verifikasi |
| Target yang rentan | Perangkat lama, OT, embedded, dan perangkat yang tidak bisa dipatch mudah jadi sasaran | Sistem yang tidak bisa dihentikan sangat sulit diganti dan diberi patch keamanan |
| Hasil | Hambatan untuk masuk dan menyusup menurun | Operasi keamanan berpindah dari masalah 'penemuan' ke masalah 'kemacetan penanganan' |
Ada alasan kenapa jaringan listrik, air, dan bank selalu disebut lebih dulu
Bidang-bidang ini menakutkan bukan cuma karena bayangan seperti di film. Kejadian nyata dalam sejarah sudah berulang kali menunjukkan bahwa 'serangan digital bisa menghentikan fungsi sosial'.
1960-an: penyebaran SCADA
SCADA(sistem kendali jarak jauh untuk fasilitas industri) yang memantau dan mengendalikan fasilitas luas seperti listrik, air, dan gas dari jarak jauh mulai menyebar. Pada saat itu, filosofi desainnya lebih dekat ke operasi stabil dan efisiensi daripada keamanan.
1996: konsep infrastruktur penting dijadikan sistem kebijakan
Perintah eksekutif Amerika EO 13010 mengelompokkan listrik, keuangan, air, transportasi, dan lainnya sebagai infrastruktur inti yang harus dilindungi negara. Ini adalah titik awal yang menunjukkan secara kebijakan kenapa bidang-bidang ini selalu disebut lebih dulu.
2010: guncangan Stuxnet
Stuxnet(malware yang menargetkan sistem kontrol industri) menunjukkan bahwa bukan hanya mencuri informasi di komputer, tetapi juga bisa merusak fasilitas fisik nyata. Ini menjadi titik perubahan bahwa serangan siber bisa menyentuh mesin di dunia nyata.
2015: peretasan jaringan listrik Ukraina
Pemadaman listrik benar-benar terjadi. Jadi makin jelas bahwa kalau jaringan listrik diretas, dampaknya bukan cuma ketidaknyamanan, tetapi bisa mengguncang fungsi seluruh masyarakat.
2021: insiden Colonial Pipeline
Serangan pada jaringan TI untuk kerja berlanjut menjadi gangguan pasokan bahan bakar. Ini adalah kejadian yang memperlihatkan betapa erat kaitan TI dan OT, yaitu jaringan komputer kantor dan jaringan fasilitas operasional, dalam operasi sehari-hari.
2020-an: keamanan berpusat pada ketahanan pemulihan
Sekarang, hanya 'mencegah agar tidak ditembus' dianggap tidak cukup. Yang jadi inti adalah seberapa cepat bisa pulih setelah diserang dan tetap menjaga fungsi sosial, yaitu ketahanan pemulihan(resilience).
Jadi kenapa fasilitas dasar justru lemah? Perbandingan celah pada jaringan listrik, air, dan bank
| Bidang | Kenapa selalu disebut lebih dulu | Kenapa rentan |
|---|---|---|
| Jaringan listrik | Kalau listrik padam, industri, transportasi, sampai komunikasi kena dampak berantai | Bergantung pada sistem kontrol industri, perangkat lama, dan perlu operasi tanpa henti |
| Sistem air | Langsung terhubung ke kesehatan publik dan kelangsungan hidup sehari-hari | Perangkat kendali jarak jauh, perangkat lapangan yang menua, dan sulit diganti serta diperiksa |
| Bank·keuangan | Kalau pembayaran dan perpindahan dana terganggu, ketidakstabilan ekonomi langsung menyebar | Jaringan komputasi lama dan layanan terbaru bercampur, serta keterhubungannya tinggi |
Jadi kenapa AI seperti ini hanya diperlihatkan ke sebagian perusahaan
| Item | Bobot terbuka·terbuka luas | API·distribusi terbatas ke mitra terpilih |
|---|---|---|
| Kelebihan | Verifikasi riset, penyebaran inovasi, perluasan akses | Pelacakan penggunaan, pembatasan kecepatan, pembatasan akun, dan penerapan pembaruan lebih mudah |
| Kelemahan | Sekali dibuka, hampir tidak mungkin ditarik kembali dan dikendalikan | Kekuasaan perusahaan terpusat, ada kemungkinan standar tidak transparan |
| Standar penilaian distribusi | Mengutamakan keterbukaan dan perluasan ekosistem | Lebih mengutamakan penilaian risiko seperti penyalahgunaan siber, tindakan otonom, dan melewati perangkat keamanan |
| Konteks Mithos | Jika dibuka ke publik, dampak penyalahgunaannya bisa terlalu besar | Pendekatan untuk lebih dulu memeriksa sistem pertahanan sambil uji coba dengan perusahaan terpilih |
Hal yang benar-benar harus dilakukan pemerintah bukan 'melarang AI', tetapi memperbaiki kecepatan respons
Walau ancaman seperti ini datang, tidak akan selesai hanya dengan satu hukum. Respons nyata harus berjalan di beberapa jalur sekaligus.
Tahap 1: Klasifikasi ancaman dari awal lagi
Kita harus menambahkan karakteristik AI ke dalam kerangka ancaman siber yang sudah ada. Karena item baru seperti keamanan model itu sendiri, perlindungan data pelatihan, dan laporan insiden AI harus dikelola terpisah.
Tahap 2: Perbaikan hukum dan standar pengadaan
Pemerintah harus memasukkan prinsip 'secure by design(dirancang aman sejak awal)' ke dalam pengadaan dan regulasi. Agar efektif, persyaratan keamanan harus masuk ke seluruh siklus pengembangan, distribusi, operasi, dan penghentian.
Tahap 3: Upgrade sistem berbagi informasi pemerintah-swasta
Jika AI menemukan celah keamanan lebih cepat, perusahaan dan pemerintah juga harus berbagi informasi insiden dan tanda-tanda lebih cepat. Keterlambatan berbagi bisa langsung menyebabkan penyebaran kerugian.
Tahap 4: Naikkan kecepatan deteksi dan respons dengan AI
Kalau penyerang memakai AI, pihak pertahanan juga harus memperkuat analisis berbasis AI dan respons otomatis. Dengan manusia saja, makin sulit mengikuti pertarungan kecepatan per menit.
Tahap 5: Diplomasi dan kerja sama internasional
Peringatan bahwa aktor negara memakai AI untuk perang informasi dan serangan siber sudah keluar. Jadi, diplomasi untuk menyamakan standar penilaian, informasi insiden, dan norma bersama antarnegara sekutu menjadi penting.
Tahap 6: Tenaga kerja dan pelatihan
Terakhir, hal yang sering terlewat adalah masalah manusia. Keamanan AI tidak selesai hanya dengan membeli alat. Harus ada tenaga yang bisa benar-benar menjalankan, memverifikasi, dan mengurangi salah penilaian.
Teknologi pertahanan yang berbalik menjadi teknologi serangan sebenarnya bukan hal baru
Walau Mithos terlihat asing, kalau dilihat dari arus besarnya, ini bukan cerita yang sepenuhnya baru. Teknologi keamanan sejak awal memang berkembang sambil membawa penggunaan ganda(sifat yang punya kegunaan baik dan buruk sekaligus).
Zaman kuno~modern: kriptografi awalnya adalah teknologi negara
Kriptografi berkembang lebih dulu sebagai teknologi perlindungan rahasia militer·diplomasi daripada aplikasi pesan pribadi. Jadi sejak awal, pertahanan dan perang informasi memang sudah melekat.
Awal abad ke-20: peralatan sandi dan perang pemecahan sandi
Sistem sandi yang sama menjadi perisai di satu sisi, dan di sisi lain menjadi target yang harus dibongkar. Persaingan peralatan sandi di masa perang menunjukkan dengan sangat jelas dua sisi teknologi keamanan.
Tahun 1970-an: perluasan kriptografi kunci publik
Teknologi keamanan menyebar melampaui bidang militer ke jaringan sipil dan layanan komersial. Semakin besar kegunaan baiknya, semakin besar juga sensitivitasnya sebagai teknologi strategis.
Tahun 1990-an: Crypto Wars
Enkripsi yang kuat dianggap sebagai cara melindungi warga, tapi di saat yang sama juga dianggap membuat kontrol negara jadi lebih sulit. Ini contoh saat masalah teknologi langsung melebar menjadi masalah politik dan sistem.
2000-an~sekarang: penyalahgunaan alat red team
Alat seperti Cobalt Strike atau Metasploit awalnya dipakai untuk tes penetrasi dan pelatihan pertahanan. Tapi pelaku serangan nyata juga memakai alat yang sama. Kontroversi Mythos bisa dilihat sebagai momen saat pola ini naik ke tahap AI.
Jadi, kejutan Mythos bukan 'film horor AI', tapi tanda bahwa perang kecepatan di keamanan sudah dimulai
Kalau diringkas, begini. Mythos bukan berarti monster yang langsung menghancurkan dunia sekarang juga. Informasi yang dibuka ke publik juga masih terbatas, dan dalam laporan media juga mungkin ada bagian yang agak dibesar-besarkan. Tapi meski begitu, yang jelas adalah dunia sedang bergerak ke arah kecepatan menemukan dan menyambung kerentanan yang makin cepat.
Perubahan ini ternyata lebih dekat ke kehidupan kita daripada yang dibayangkan. Listrik mati, pasokan air terganggu, sistem bank berhenti, lalu kalau sistem lama di perusahaan atau rumah sakit tidak bisa mengejar patch, yang akhirnya merasakan tidak nyaman tetap warga. Jadi isu ini bukan hanya 'berita internal industri AI', tapi juga cerita tentang biaya menjaga infrastruktur sehari-hari yang naik.
Ke depan, pertanyaan pentingnya akan lebih dekat ke 'siapa yang bisa beradaptasi lebih cepat' daripada 'apakah AI bisa dihentikan'. Penyerang mendapat kecepatan, dan pihak pertahanan harus mengurangi hambatan. Kejutan Mythos paling realistis dibaca sebagai tanda mulai dari hal itu.
Inti kontroversi Mythos bukan rasa takut pada AI itu sendiri, tapi kenaikan kecepatan otomatisasi peretasan.
Jadi solusinya juga lebih dekat ke patch yang cepat, berbagi informasi, daya pulih, dan kerja sama internasional daripada pelarangan.
Kami akan memberi tahu cara hidup di Korea
Tolong beri banyak cinta untuk gltr life