Telset.id – Anthropic menggunakan Claude untuk menganalisis 25 proyek open source utama yang ditulis dalam bahasa C, C++, Java, PHP, dan Python, dan menemukan hampir 500 masalah keamanan. Temuan itu mencakup kontrol keamanan yang dimatikan akibat konflik pengaturan, kode sensitif yang dapat diakses sebelum autentikasi, hingga satu kerentanan yang tersembunyi di dalam kode selama 21 tahun.
Penelitian ini bukan perburuan kerentanan biasa. Dalam laporannya, Anthropic berargumen bahwa mencari kerentanan satu per satu adalah tugas Sisyphean yang skalanya buruk dan tidak pernah menjamin keamanan. Perusahaan justru mendorong para defender untuk beralih ke pengurangan attack surface perangkat lunak dengan membatasi akses yang tidak perlu ke kode yang berpotensi dieksploitasi.
“Seorang defender yang mengurangi attack surface yang tidak perlu dalam kode mereka mengurangi risiko dari semua kerentanan yang tidak diketahui dalam kode itu sekaligus, termasuk kerentanan yang sudah diam-diam dieksploitasi,” kata Anthropic dalam laporannya.
Ke-25 proyek yang dipindai tersebut berisi lebih dari lima juta baris kode. Claude membuat inventaris lebih dari 17.000 opsi konfigurasi, 3.842 di antaranya berkaitan dengan kontrol dan fitur yang relevan dengan keamanan. Dari sana, Claude AI mengungkap pola paparan kode yang selama ini luput dari perhatian.
Fokus pada Tiga Bentuk Paparan Kode
Penelitian Anthropic memusatkan perhatian pada tiga cara kode bisa terekspos secara tidak perlu. Pertama, fitur yang dapat diakses dalam konfigurasi default padahal tidak dibutuhkan. Kedua, pengaturan berbeda yang bila dikombinasikan justru menggerus keamanan. Ketiga, kode kompleks dan sensitif yang berjalan sebelum pemeriksaan keamanan dilakukan.
Hasil analisis menunjukkan seluruh 11 proyek yang dirancang untuk melayani pengguna terautentikasi ternyata berisi kode yang dapat dijangkau saat seharusnya tidak bisa. Temuan itu mencakup 93 attack surface pra-autentikasi dalam konfigurasi default, 37 kasus kode yang dieksekusi sebelum autentikasi, dan 61 kombinasi pengaturan berbeda yang menggerus kontrol pra-autentikasi.
Secara total, ke-25 proyek yang dianalisis berisi 162 kombinasi konfigurasi yang diterima tanpa dokumentasi yang menjelaskan bagaimana seharusnya konfigurasi itu berperilaku. Dalam sejumlah kasus, kontrol keamanan justru dinonaktifkan. Pada kasus lain, ditemukan berbagai inkonsistensi dan masalah.
Salah satu cacat konfigurasi bahkan tidak terdeteksi selama lebih dari dua dekade. Satu pengaturan membuat klien membuktikan identitasnya melalui sertifikat, sementara pengaturan lain menonaktifkannya sepenuhnya, padahal pengaturan itu dirancang untuk menunda pemeriksaan, bukan mematikannya. Meski opsi-opsi tersebut saling bertentangan, keduanya diterima tanpa peringatan.
OpenSSH Jadi Studi Kasus
Anthropic menyoroti OpenSSH sebagai studi kasus dalam laporan tersebut. Perangkat lunak yang banyak digunakan untuk menyediakan akses remote aman itu berisi daemon yang dapat menjangkau 4.500 baris kode eksperimental. Kode tersebut mengimplementasikan algoritma signature post-quantum sebelum memeriksa apakah algoritma itu diizinkan oleh konfigurasi server.
Hasilnya, algoritma tersebut memang dinonaktifkan secara default, tetapi kode parsing-nya tetap dapat diakses oleh klien yang belum terautentikasi. Anthropic melaporkan temuannya kepada OpenSSH, yang kemudian merilis perbaikan pada versi 10.6. Dalam versi itu, sekitar 20 persen kode kini tidak dapat dijangkau oleh klien yang belum terautentikasi.
Perusahaan menyatakan telah menggabungkan teknik-teknik tersebut menjadi sebuah Claude skill yang dapat digunakan kembali. Skill itu akan segera diintegrasikan ke OSS-Scanner, layanan pemindaian keamanan gratis dan opt-in milik Anthropic untuk proyek open source. Skill tersebut akan memeriksa konfigurasi default, kode yang dapat dijangkau sebelum pemeriksaan keamanan, serta pengaturan yang saling bertentangan.
Anthropic menambahkan bahwa sistem itu akan memvalidasi temuan melalui dynamic program tracing dan menguji perubahan yang diusulkan terhadap perilaku yang sudah ada. Perubahan yang berpotensi mengganggu akan diserahkan kepada manusia untuk ditinjau.
“Mungkin mustahil mengukur berapa banyak kerentanan tidak diketahui di basis kode mana pun,” simpul para peneliti. “Dan ada banyak data yang menunjukkan penyerang dapat dan akan menemukan kerentanan itu dengan cukup waktu, terutama jika diperlengkapi dengan model AI frontier.”
Karena itu, AI dinilai dapat membantu pengembang membatasi paparan yang tidak perlu secara sistematis, sehingga perangkat lunak menjadi jauh lebih sulit diserang. Temuan ini juga memperkuat perhatian terhadap keamanan di ekosistem AI, termasuk soal privasi chat di layanan seperti Claude dan ChatGPT yang terus menjadi sorotan.
Di sisi lain, Anthropic juga tengah memperketat aturan penggunaan modelnya, termasuk larangan perilaku kasar terhadap Claude. Langkah tersebut menunjukkan bahwa pengawasan terhadap model AI tidak hanya menyangkut kemampuan teknis, tetapi juga tata kelola dan tanggung jawab penggunaannya.
Komentar
Belum ada komentar.