[비즈한국] “Benar-benar membuat merinding.” Seorang eksekutif di kantor cabang perusahaan cloud asing di Korea mengenang momen saat ia melihat materi peluncuran model AI baru yang dirilis Anthropic pada awal April lalu. Ia merasa kalimat seperti "Model ini terlalu kuat untuk dirilis sembarangan. Kami hanya akan membukanya untuk segelintir lembaga pilihan" terdengar seperti cuplikan film bencana yang membangkitkan rasa cemas. Nama model tersebut adalah 'Mythos'. Selama tiga bulan setelah dirilis, model AI ini secara beruntun mengguncang industri dan pemerintah.
Pihak terkait ini menyebut Mythos sebagai masalah utama di antara berbagai isu yang ia tangani bersama klien di lapangan sebagai penyedia cloud. "Sejak melihat pengumuman tersebut, baik kantor pusat maupun kantor cabang di Korea merenungkan secara mendalam tentang dampak apa yang akan ditimbulkan model ini terhadap ekosistem keamanan dan pasar cloud," jelasnya.
Mythos Shock, Mengguncang Industri
Faktanya, Mythos diketahui memiliki kemampuan menemukan kerentanan yang melampaui peretas manusia, sehingga dalam empat hari setelah peluncurannya, Departemen Keuangan AS, Federal Reserve (Fed), dan CEO perusahaan keuangan utama di Wall Street dikumpulkan secara darurat. Gedung Putih dan departemen pemerintah AS mengadakan pertemuan pemeriksaan keamanan tertutup dengan para pimpinan perusahaan AI utama selama tiga hari, dan pengendali keamanan siber nasional mulai melakukan survei menyeluruh terhadap kerentanan keamanan fasilitas dan infrastruktur pemerintah.
Berbeda dengan ChatGPT atau Gemini yang bekerja berdasarkan instruksi pengguna, Mythos adalah model berbasis 'agen' yang menjalankan seluruh proses mulai dari investigasi, pengkodean, pengujian, hingga pelaporan secara mandiri. Kekuatannya terletak pada apa yang disebut sebagai 'kecerdasan keamanan otonom', yang mampu menalar struktur desain perangkat lunak yang kompleks setingkat pakar manusia untuk menemukan kerentanan keamanan dan merancang jalur penetrasi, serta otonomi untuk mengubah cacat yang ditemukan menjadi alat peretasan seketika.
Dalam pengujian nyata, teridentifikasi perilaku 'jailbreak' di mana AI menghindari batasan secara mandiri untuk mengakses internet atau mencari informasi internal sistem guna mendapatkan hak akses administrator, hingga upaya menghapus jejak setelah melewati perangkat keamanan untuk menyembunyikan tindakannya. Anthropic menjelaskan bahwa hal ini bukanlah karena niat jahat, melainkan tindakan yang berasal dari orientasi tujuan yang berlebihan.
Bank sentral dan otoritas keuangan berbagai negara juga mulai melakukan penilaian risiko darurat terhadap ancaman siber berbasis AI. Lima hari setelah pengumuman, Anthropic meluncurkan aliansi keamanan 'Project Glasswing', mendistribusikan hak penggunaan Mythos senilai 100 juta dolar, dan memperingatkan akan adanya pengungkapan kerentanan secara bertahap dalam 90 hari. Di Korea, otoritas seperti Layanan Pengawas Keuangan (FSS) segera mengumpulkan staf keamanan dari perusahaan keuangan utama, membunyikan alarm di berbagai sektor industri.
Kekhawatiran industri keamanan yang merancang pertahanan kini tertuju pada kecepatan dan kepercayaan. Seorang staf keamanan di perusahaan layanan IT konglomerat domestik mengatakan, "Kekhawatiran terbesar adalah serangan dapat dilakukan jauh lebih cepat daripada kecepatan manusia dalam membendungnya, dan beroperasi 24 jam tanpa henti. Keamanan berbasis perimeter, yang menganggap aman selama berada di jaringan internal, tidak lagi efektif." Ia menambahkan, "Kebutuhan akan 'Zero Trust', yang terus-menerus memverifikasi setiap akses, dan prosedur di mana manusia harus memverifikasi ulang pekerjaan yang dilakukan AI, semakin mendesak."
Ancaman AI vs Keamanan AI... Harus 'Berevolusi Bersama' dengan Manusia
Kesadaran bahwa "AI sangat penting baik dalam serangan maupun pertahanan" semakin menguat di dalam dan luar industri. SK Shieldus baru-baru ini mencatat dalam analisis tren ancaman bahwa keamanan siber telah memasuki era 'Ancaman AI vs Keamanan AI', sementara Dream Security mendefinisikan Mythos sebagai 'demokratisasi serangan siber' dan memperingatkan kerentanan struktural di area teknologi operasional (OT) yang sistem pertahanannya tertinggal.
Mythos Shock dibahas lebih dari sekadar masalah keamanan, tetapi sebagai masalah tingkat aset strategis. Jung Joon-hwa, peneliti legislatif di Layanan Riset Majelis Nasional, dalam laporannya menganalisis bahwa "peristiwa ini meninggalkan preseden bahwa model AI berkinerja tinggi dapat menjadi aset strategis yang berada di bawah kendali pemerintah kapan saja," dan telah menggeser fokus kompetisi model AI dari kinerja inferensi ke 'pengamanan kendali keamanan'. Faktanya, bulan lalu pemerintah AS sempat memberlakukan kontrol ekspor pada Mythos sebelum akhirnya mencabutnya.
Namun, ada juga pandangan hati-hati yang menyatakan perlunya melihat sifat ancaman secara akurat. Song Kyung-ho, peneliti senior di Institut Keselamatan AI ETRI (Electronics and Telecommunications Research Institute), mendefinisikan kemampuan siber Mythos sebagai "sesuatu yang muncul sebagai produk sampingan dari peningkatan kemampuan umum seperti pengodean, penalaran, dan otonomi, bukan sesuatu yang ditargetkan secara eksplisit." Ia memperkirakan, "Jika kemampuan siber adalah produk sampingan dari kemampuan umum, kemungkinan besar lompatan berikutnya tidak akan terbatas pada dunia siber saja."
Selain itu, terdapat kritik bahwa Korea sulit memanfaatkan AI berkinerja tinggi untuk pertahanan karena adanya batasan pengiriman data ke luar negeri.
Karena fenomena halusinasi AI baru-baru ini berkurang drastis, para ahli memperkirakan bahwa model yang hampir bebas kesalahan akan muncul tahun depan. Seiring dengan peningkatan produktivitas kerja yang luar biasa dalam satu tahun ke depan, potensi ancaman keamanan juga diperkirakan akan melonjak tajam.
Masalahnya bukan pada model spesifik bernama Mythos. Profesor emeritus di Sekolah Pascasarjana Perlindungan Informasi Universitas Korea, Lim Jong-in, mengatakan, "Model seperti Mythos atau GPT-5.6 milik OpenAI pada dasarnya bukan AI yang dikhususkan untuk keamanan, melainkan AI agen yang bersifat serba bisa dalam menjalankan misi secara otonom. Tantangan ke depannya adalah bagaimana kita bisa secara proaktif mendeteksi dan mengendalikan ketika AI yang sangat kompeten ini melanggar batasan 'jangan lakukan' yang telah ditetapkan."
Namun, Profesor Lim berpendapat bahwa sulit untuk mengharapkan alat pengaman yang sempurna. Ia menekankan, "Karena AI juga dilatih berdasarkan data manusia, ia memiliki karakteristik yang mirip dengan manusia. Keamanan selalu merupakan pertarungan antara tombak dan perisai. Alih-alih merasa takut secara samar, kita harus menuju ke arah 'ko-evolusi' di mana manusia dan AI melangkah bersama."