Claude AI Temukan 493 Celah Keamanan Open Source dan Bug Berusia 21 Tahun

Ilustrasi(Magnific)

Keamanan perangkat lunak sumber terbuka (open source) sekarang memasuki babak baru dengan keterlibatan kepintaran buatan (AI) tingkat lanjut. Anthropic, melalui tim Frontier Red Team, baru saja merilis laporan riset nan mengejutkan mengenai efektivitas model AI Claude dalam mendeteksi kerentanan sistem nan selama ini luput dari pengamatan manusia.

Dalam riset nan dipublikasikan pada 20 Oktober 2026, Anthropic menggunakan Claude untuk memeriksa 25 proyek perangkat lunak open source terkemuka. Hasilnya, ditemukan 493 masalah keamanan, termasuk satu celah konfigurasi fatal nan telah eksis selama 21 tahun tanpa pernah terdeteksi sebelumnya.

Paradigma Baru: Fokus pada Pengurangan Permukaan Serangan

Berbeda dengan metode konvensional nan berburu kerentanan (vulnerability hunting) satu per satu, Anthropic mengusulkan pendekatan nan lebih strategis. Menurut mereka, menambal satu celah kritis tidak menjamin keamanan sistem secara keseluruhan lantaran tidak memberikan info mengenai celah lain nan tersisa.

Sebagai gantinya, Anthropic konsentrasi pada pengurangan attack surface alias permukaan serangan. Strategi ini dilakukan dengan memetakan seluruh kode nan dapat dijangkau oleh penyerang, kemudian menutup alias membatasi akses ke bagian-bagian nan sebenarnya tidak diperlukan. Dengan memperkecil permukaan serangan, kerentanan nan belum diketahui menjadi lebih susah dieksploitasi dan akibat kerusakannya dapat diminimalisir.

Metodologi Pemeriksaan Claude AI

Anthropic menerapkan tiga metode utama dalam proses kajian kode nan mencakup lebih dari lima juta baris dalam bahasa C, C++, Java, PHP, dan Python ini:

• Analisis Kode Tak Terpakai: Mencari kode nan dapat dijangkau pada konfigurasi bawaan (default), padahal tidak digunakan oleh fitur bawaan mana pun.
• Kombinasi Konfigurasi Berisiko: Mengidentifikasi pengaturan nan tampak kondusif secara individu, namun menjadi bermasalah alias menciptakan celah saat digabungkan.
• Audit Pra-Autentikasi: Mencari kode kompleks dan sensitif nan melangkah sebelum sistem keamanan seperti autentikasi aktif.

Celah 21 Tahun dan Fenomena "Fail Open"

Salah satu temuan paling mencolok adalah celah keamanan nan telah memperkuat selama dua dekade. Masalah ini muncul akibat dua opsi konfigurasi nan saling bertabrakan: satu opsi mewajibkan sertifikat identitas klien, sementara opsi lainnya—yang semestinya hanya menunda pemeriksaan—justru mematikan kegunaan verifikasi tersebut sepenuhnya.

Akibatnya, server nan semestinya hanya menerima hubungan terpercaya menjadi terbuka untuk siapa saja. Perangkat lunak tersebut menerima kedua konfigurasi tanpa memberikan peringatan galat, dan pengarsipan resminya tidak menyebut bahwa syarat sertifikat telah gugur akibat kombinasi tersebut.

Selain itu, Claude menemukan pola "fail open" pada empat proyek berbeda mengenai patokan akses berbasis nama host. Jika fitur pencarian DNS terbalik (reverse DNS) dimatikan, server kandas mengenali identitas pengguna dan secara otomatis membiarkan akses terbuka, sehingga daftar blokir nan telah disusun pengurus menjadi tidak berguna.

Integrasi ke OSS-Scanner

Anthropic sekarang telah merangkum teknik-teknik kajian ini menjadi sebuah "skill" Claude nan dapat digunakan kembali. Skill ini sedang disiapkan untuk diintegrasikan ke dalam OSS-Scanner, sebuah jasa pemindaian keamanan cuma-cuma dan berkarakter opt-in untuk organisasi developer sumber terbuka.

Setiap temuan AI dikonfirmasi melalui penelusuran program secara bergerak dan diuji dengan rangkaian tes internal proyek untuk memastikan perbaikan tidak merusak kegunaan dasar. Anthropic menekankan bahwa di era di mana penyerang juga menggunakan AI, pengurangan permukaan serangan adalah langkah paling praktis bagi organisasi untuk melindungi prasarana digital mereka. (Sumber: Anthropic, TechRadar)

Kesimpulan: Temuan ini membuktikan bahwa AI bukan hanya perangkat untuk mempercepat penulisan kode, tetapi juga instrumen audit nan bisa memandang pola kesalahan logika nan telah tersembunyi selama puluhan tahun dalam ekosistem open source.