Telset.id – Anthropic menggunakan Claude untuk menganalisis 25 proyek open source utama yang ditulis dalam bahasa C, C++, Java, PHP, dan Python, dan menemukan hampir 500 masalah keamanan. Temuan ini mencakup kontrol keamanan yang dimatikan akibat konflik pengaturan, kode sensitif yang dapat diakses sebelum autentikasi, hingga satu kerentanan yang bersembunyi di dalam kode selama 21 tahun.
Hasil pemindaian itu bukan sekadar perburuan kerentanan biasa. Dalam laporannya, Anthropic berargumen bahwa mencari kerentanan satu per satu adalah tugas sia-sia yang skalanya buruk dan tidak pernah menjamin keamanan. Perusahaan justru mendorong para defender untuk beralih ke pendekatan pengurangan attack surface perangkat lunak dengan membatasi akses yang tidak perlu ke kode yang berpotensi dieksploitasi.
“Seorang defender yang mengurangi attack surface yang tidak perlu di dalam kode mereka mengurangi risiko dari semua kerentanan yang tidak diketahui di dalam kode itu sekaligus, termasuk kerentanan yang sudah diam-diam dieksploitasi,” kata Anthropic dalam laporannya.
Ke-25 proyek yang dipindai tersebut berisi lebih dari lima juta baris kode. Claude membuat inventaris lebih dari 17.000 opsi konfigurasi, di mana 3.842 di antaranya berkaitan dengan kontrol dan fitur yang relevan dengan keamanan.
Fokus pada Tiga Jalur Paparan Kode
Riset Anthropic berfokus pada tiga cara kode bisa terekspos secara tidak perlu. Pertama, fitur yang dapat diakses dalam konfigurasi default padahal tidak dibutuhkan. Kedua, pengaturan berbeda yang bila dikombinasikan justru menggerus keamanan. Ketiga, kode yang terlalu kompleks dan sensitif yang berjalan sebelum pemeriksaan keamanan dilakukan.
Analisis tersebut menunjukkan bahwa seluruh 11 proyek yang dirancang untuk melayani pengguna terautentikasi ternyata mengandung kode yang dapat dijangkau padahal seharusnya tidak. Temuan itu mencakup 93 attack surface pre-authentication dalam konfigurasi default, 37 kasus kode yang dieksekusi sebelum autentikasi, dan 61 kombinasi pengaturan berbeda yang menggerus kontrol pre-authentication.
Secara total, ke-25 proyek yang dianalisis mengandung 162 kombinasi konfigurasi yang diterima tanpa dokumentasi yang menjelaskan bagaimana seharusnya konfigurasi tersebut berperilaku. Dalam sejumlah kasus, kontrol keamanan justru dinonaktifkan. Pada kasus lain, ditemukan berbagai inkonsistensi dan masalah.
Anthropic menemukan satu cacat konfigurasi yang tidak terdeteksi selama lebih dari dua dekade. Satu pengaturan membuat klien membuktikan identitas mereka melalui sertifikat, sementara pengaturan lain menonaktifkannya sepenuhnya, padahal pengaturan tersebut dirancang untuk menunda pemeriksaan, bukan mematikannya. Meski opsi-opsi itu saling bertentangan, keduanya diterima tanpa peringatan.
Baca Juga:
Studi Kasus OpenSSH dan Rencana Integrasi OSS-Scanner
Anthropic menyoroti OpenSSH sebagai studi kasus dalam laporan tersebut. Perangkat lunak yang banyak digunakan untuk menyediakan akses jarak jauh yang aman itu mengandung daemon yang dapat menjangkau 4.500 baris kode eksperimental yang mengimplementasikan algoritma signature post-quantum sebelum memeriksa apakah algoritma tersebut diizinkan oleh konfigurasi server.
Hasilnya, algoritma tersebut ternyata dinonaktifkan secara default, tetapi kode parsing-nya tetap dapat diakses oleh klien yang belum terautentikasi. Anthropic mengungkapkan temuannya kepada OpenSSH, yang kemudian merilis perbaikan pada versi 10.6. Pada versi itu, sekitar 20 persen kode kini tidak dapat dijangkau oleh klien yang belum terautentikasi.
Perusahaan menyebut telah menggabungkan teknik-teknik tersebut menjadi sebuah skill Claude yang dapat digunakan kembali. Skill itu akan segera diintegrasikan ke OSS-Scanner, layanan pemindaian keamanan gratis dan opt-in milik Anthropic untuk proyek open source.
Skill tersebut akan memeriksa konfigurasi default, kode yang dapat dijangkau sebelum pemeriksaan keamanan, serta pengaturan yang saling bertentangan. Anthropic menambahkan bahwa sistem akan memvalidasi temuan melalui dynamic program tracing dan menguji perubahan yang diusulkan terhadap perilaku yang sudah ada. Perubahan yang berpotensi mengganggu akan diserahkan kepada manusia untuk ditinjau.
“Mungkin mustahil mengukur berapa banyak kerentanan yang tidak diketahui di dalam basis kode mana pun,” simpul para peneliti. “Dan ada banyak data yang menunjukkan bahwa penyerang dapat dan akan menemukan kerentanan tersebut dengan cukup waktu, terutama jika diperlengkapi dengan model AI frontier.”
Oleh karena itu, AI dinilai dapat membantu pengembang membatasi paparan yang tidak perlu secara sistematis, sehingga perangkat lunak menjadi jauh lebih sulit untuk diserang. Temuan ini juga memperkuat perdebatan soal peran AI dalam keamanan siber, termasuk bagaimana model seperti Claude kini dipakai untuk kebutuhan analisis teknis di luar percakapan sehari-hari.
Anthropic sendiri terus memperluas pemanfaatan Claude ke berbagai sektor, termasuk melalui program Claude Startups yang memberi kredit API bagi startup terpilih. Langkah ini menunjukkan arah ekspansi Claude dari sekadar asisten AI menjadi alat kerja yang lebih spesifik, termasuk di ranah keamanan perangkat lunak.
Komentar
Belum ada komentar.