[비즈한국] Pasca Mitos Shock, baik sektor publik maupun swasta kini mulai menyusun ulang sistem respons dengan prinsip "serangan AI harus dibendung dengan AI". Sektor keuangan mulai memperkenalkan peretasan simulasi AI otonom dan pengawasan keamanan berbasis AI, sementara sektor publik juga mempercepat transisi sistem keamanan jaringan dengan asumsi era AI.
Sektor yang bergerak paling cepat adalah sektor keuangan. Mengingat keuangan adalah infrastruktur inti negara di mana informasi nasabah dan arus dana terhubung secara real-time, sektor ini dianggap sebagai bidang yang paling rentan jika AI mempercepat kecepatan serangan.
Woori Financial Group baru-baru ini mengadopsi 'Xint Web', solusi peretasan simulasi kotak hitam otonom berbasis AI dari perusahaan keamanan siber ofensif, Theori. Metode ini bekerja dengan cara mengetuk bagian luar layanan layaknya peretas sungguhan untuk mencari celah tanpa informasi sistem internal. KB Financial Group juga memperkuat respons berbasis AI dengan memperluas penerapan agen peretasan simulasi AI yang dikembangkan sendiri dan sistem keamanan berbasis Zero Trust.
Bank of Korea juga mulai beralih ke sistem keamanan berbasis AI dengan mengadopsi perangkat dari Palo Alto Networks (AS), perusahaan yang berpartisipasi sejak awal dalam 'Project Glasswing', sebuah koalisi internasional untuk merespons Mitos.
“Serangan AI Dibendung dengan AI”… Respons Domestik Mulai Serius
Di tengah langkah teknis perusahaan, pemerintah juga mulai menyiapkan landasan kelembagaan. Sejak kemunculan Mitos, Komisi Jasa Keuangan (FSC) memutuskan untuk melonggarkan sementara regulasi pemisahan jaringan khusus untuk penggunaan AI demi tujuan keamanan. Kebijakan ini menyasar 49 perusahaan keuangan dengan total aset di atas 10 triliun won dan karyawan tetap di atas 1.000 orang, di mana regulasi akan dilonggarkan selama 1 tahun setelah melalui evaluasi kemampuan manajemen keamanan. Kementerian Sains dan ICT juga fokus mengamankan kemampuan keamanan berbasis AI, termasuk mendiskusikan rencana kerja sama dengan Anthropic untuk mendapatkan hak akses ke Mitos.
Para ahli menilai esensi Mitos Shock bukan sekadar pada "kemunculan peretas AI yang terotomatisasi sepenuhnya", melainkan pada perubahan mendasar dalam cara pelaksanaan tugas keamanan. Yang Jong-heon, kepala departemen di perusahaan AI analisis big data S2W, menunjukkan bahwa "Intinya bukan berarti otomatisasi penuh sudah sempurna sekarang, melainkan biaya, kecepatan, dan kemampuan pengulangan tugas keamanan mulai berubah. Perubahan ini dapat mengguncang cara kerja peneliti kerentanan, rantai pasokan perangkat lunak, hingga sistem manajemen tambalan (patch)."
Dijelaskan bahwa jika daya saing manusia di bidang keamanan sebelumnya berasal dari kemampuan menemukan kerentanan, maka di masa depan, kemampuan untuk memverifikasi hasil temuan AI, menilai risiko nyata, dan menentukan prioritas respons akan menjadi jauh lebih penting.
Meskipun AI nantinya akan menjalankan sebagian besar tugas serangan dan pertahanan, tanggung jawab akhir tetap berada di tangan manusia. Itulah sebabnya sistem tata kelola (governance) untuk mengelola AI ditekankan sama pentingnya dengan perkembangan teknologi. Choi Byeong-ho, profesor di Institut AI Universitas Korea, mengatakan, "Dalam sistem yang realistis, manusia dan AI harus bekerja sama, dan strukturnya mau tidak mau harus menempatkan manusia yang bekerja sama tersebut sebagai penanggung jawab." Namun, ia menambahkan, "Karena sistem tata kelola itu belum sempurna, kita tidak berdaya saat insiden seperti ini terjadi. Dunia sedang dalam kondisi di mana pasar keamanan tingkat tinggi sangat mungkin dilumpuhkan."
Yang Jong-heon menekankan, "Hal pertama yang dibutuhkan perusahaan adalah visibilitas aset dan kode. Jika tidak tahu sistem apa yang dioperasikan atau pustaka sumber terbuka apa yang diandalkan, sulit untuk menghubungkan kerentanan yang ditemukan AI dengan risiko nyata." Artinya, meskipun AI menemukan banyak kerentanan, hal itu akan sia-sia jika tidak ada kemampuan dasar untuk menerjemahkannya menjadi risiko nyata bagi sistem perusahaan.
Yoo Jun-gu, peneliti senior di Sejong Institute, juga mendiagnosis dalam laporannya bahwa "Inti dari keamanan infrastruktur utama berbasis data bukanlah meningkatkan tembok pertahanan luar, melainkan bagaimana mengontrol otoritas ketika akun internal dibajak." Ia menyarankan agar fokus beralih pada perancangan langkah verifikasi yang ketat yang harus dilalui penyerang untuk mencapai target, alih-alih mengasumsikan keamanan yang sempurna.
Bukan Performa, Melainkan ‘Hak Akses dan Kendali’… Pemerintah Fokus pada AI Khusus Keamanan
Lantas, sejauh mana Korea bisa mendekati model tingkat atas sekelas Mitos? Banyak analisis menyebutkan bahwa sekalipun memiliki hak akses, tidak mudah untuk memanfaatkan model perbatasan (frontier) sekelas Mitos di dalam negeri. Hal ini karena AI perbatasan dari luar negeri semakin dikelola sebagai aset strategis negara, sehingga aksesnya kemungkinan besar akan dibatasi.
Meskipun Korea Internet & Security Agency (KISA), Samsung Electronics, dan SK Telecom telah memperoleh hak akses ke Mitos dari Anthropic, pandangan umum menyebutkan bahwa seiring perubahan kebijakan AS yang mengelola AI perbatasan sebagai aset strategis, peluang pemanfaatan dalam jangka panjang bisa semakin menipis. Meskipun Departemen Perdagangan AS menghapus kontrol ekspor terhadap model umum Mitos 5 dan Fable 5 setelah 18 hari pada bulan Juni lalu, penerapan perlindungan (safeguard) yang lebih ketat membuat cakupan penggunaan untuk riset keamanan justru menjadi lebih sempit.
Meski begitu, para ahli menunjukkan bahwa ikut terjun dalam kompetisi pengembangan model raksasa setingkat Mitos bukanlah solusi realistis. Kim Ho-won, Ketua Asosiasi Perlindungan Informasi Korea sekaligus profesor di Universitas Nasional Pusan, dalam seminar arah perkembangan keamanan siber bulan lalu mengatakan, "Jika kita bersikeras mengembangkan Mitos sendiri, kita bisa terjebak dalam 'chicken game', dan jika menggunakan model asing, kita akan terjebak dalam dilema kedaulatan data. Strategi model khusus skala kecil (sLLM) berbasis orkestrasi agen yang mengontrol berbagai AI secara organik bisa menjadi alternatif yang realistis."
Kapasitas pengembangan pun tidak memadai karena besarnya sumber daya komputasi dan biaya investasi. Bae Byeong-hun, Wakil Perdana Menteri sekaligus Menteri Sains dan ICT, dalam konferensi pers peringatan satu tahun masa jabatannya bulan lalu menyebutkan, "Sulit untuk mengembangkan model perbatasan sekelas Mitos dengan tingkat dukungan pada proyek model fondasi AI mandiri saat ini. Diperkirakan dibutuhkan sekitar 10.000 GPU kelas Vera Rubin, yang harganya saja mencapai sekitar 3,5 triliun won."
Masalahnya bukan hanya biaya dan teknologi. Akses itu sendiri bisa bergantung pada penilaian politik, yang menjadi risiko baru. Wang Yun-jong, profesor Departemen Manajemen Internasional Universitas Dongduk, menanggapi kasus pemblokiran akses Anthropic oleh AS dengan mengatakan, "'Risiko switch-off', di mana layanan AI generatif dari negara lain bisa terhenti dalam semalam, telah menjadi kenyataan." Ia menambahkan, "Sovereign AI perlu didekati bukan sebagai sarana persaingan pasar, melainkan sebagai sistem cadangan tingkat nasional untuk berjaga-jaga jika akses ke AI luar negeri dibatasi."
Selain itu, karena prediksi regulasi menjadi sangat rendah, ia menyarankan perusahaan domestik untuk memasukkan tindakan kontrol ekspor pemerintah AS sebagai klausul 'force majeure' yang eksplisit dalam kontrak dengan klien global.
Di luar negeri, sistem respons tingkat negara dan perusahaan sudah mulai terbentuk. Microsoft (MS) pada tanggal 27 bulan lalu merilis proyek respons serangan AI otonom 'Perception' dan model AI khusus keamanan, serta meluncurkan koalisi tim merah eksternal (EXTRA) yang diikuti oleh KAIST, memulai kompetisi keamanan AI secara sungguh-sungguh.
Mitos Shock menandakan era kompetisi pemanfaatan dan kendali yang melampaui kompetisi performa AI. Bagi Korea, tugas berikutnya adalah bagaimana membangun sistem keamanan dan respons kelembagaan bersamaan dengan pengamanan teknologi.
Oleh karena itu, pemerintah berencana untuk menggagas 'strategi dua jalur' dengan meninjau kemungkinan pengembangan AI perbatasan secara terpisah dari proyek model fondasi AI mandiri, sambil memprioritaskan pengembangan 'AI khusus keamanan' yang memanfaatkan model yang sudah ada. Wakil PM Bae menyatakan, "Bahkan jika kita tidak bisa segera membuat model perbatasan, kita bisa membuat model AI khusus keamanan untuk memeriksa berbagai kerentanan dengan melakukan penyesuaian (fine-tuning) model yang kita miliki sekarang menggunakan data keamanan. Kami berencana untuk mengembangkan dan mulai menerapkannya di sektor publik tahun ini."