Model AI Tiongkok Meningkatkan Standar Penemuan Bug: Analisis

Di suatu backlog kerentanan, sebuah bug menua seperti sushi yang tidak didinginkan sementara tiga tim berdebat apakah pemindai sedang berhalusinasi. Itulah konteks ceria untuk kecemasan terbaru seputar model AI Tiongkok dan penemuan bug otomatis. Bagian pentingnya bukan nasionalisme model atau konfeti papan peringkat. Intinya adalah bahwa penemuan kerentanan menjadi lebih murah, lebih cepat, dan tidak terlalu bergantung pada sedikit manusia yang bisa menatap crash dump sampai ia mengaku. Ini bukan pelanggaran keamanan dalam arti biasa, tidak ada basis data yang dicuri, tidak ada pernyataan permintaan maaf dengan frasa tradisional tentang menganggap keamanan dengan serius. Ini adalah pergeseran kapabilitas, yang lebih licik. Ketika penemuan makin cepat, pembela mendapat alat yang lebih baik, pelaku ancaman mendapat alat yang lebih baik, dan manajemen patch diberi stopwatch.

Apa yang terjadi, menurut Natto Thoughts

Natto Thoughts melaporkan bahwa Anthropic memperkenalkan Claude Mythos Preview pada 7 April 2026, melalui Project Glasswing kepada kemitraan terbatas berisi lebih dari 40 organisasi yang telah diperiksa, termasuk perusahaan teknologi dan keamanan siber besar. Menurut laporan yang sama, Anthropic mengatakan model tersebut mengidentifikasi ribuan kerentanan tingkat keparahan tinggi di perangkat lunak yang banyak digunakan, termasuk sistem operasi utama dan peramban web. Natto Thoughts juga melaporkan bahwa dalam beberapa kasus sistem tersebut dapat secara mandiri mengembangkan exploit dan merangkai kerentanan tanpa campur tangan manusia, dan bahwa Anthropic belum merilisnya ke publik karena risiko penerapan dan kebutuhan akan pengamanan.

Itulah bagian ketika setiap pemimpin AppSec diam-diam melihat antrean Jira mereka dan mempertimbangkan karier di bidang perlebahan. Natto Thoughts juga menggambarkan perusahaan Tiongkok sebagai pihak yang berpotensi menyamai kapabilitas yang dikaitkan dengan Claude Mythos dalam hitungan bulan, menurut para pakar industri. Laporan tersebut mengutip Zhou Hongyi, chairman dan CEO 360 Digital Security Group, yang mengatakan, “Siapa pun yang menguasai teknologi penemuan kerentanan otomatis memegang keunggulan dalam serangan dan pertahanan siber.” Sayangnya bagi semua orang yang suka tidur nyenyak, kutipan itu menua dengan keniscayaan renyah seperti CVE yang dieksploitasi pada hari Jumat.

Mengapa perbandingan ini penting, menurut Axios dan SecurityWeek

Axios membingkai momen kebijakan yang lebih besar sebagai kemajuan AI Tiongkok yang bertabrakan dengan perdebatan keselamatan di AS. SecurityWeek, dalam judulnya tentang klaim peretasan AI dari sebuah perusahaan keamanan siber Tiongkok, mengatakan klaim tersebut memunculkan perbandingan dengan Claude Mythos. Bahkan tanpa detail teknis publik yang cukup untuk memvalidasi setiap klaim, perbandingan itu sendiri penting karena Claude Mythos telah menjadi tolok ukur untuk kelas baru alat keamanan, yaitu sistem yang tidak sekadar merangkum kode, tetapi membantu menemukan celah tempat perangkat lunak mulai retak.

Itu mengubah ekonominya. Riset kerentanan tradisional berjalan lambat karena waktu para ahli langka, targetnya aneh, dan perangkat lunak sebagian besar adalah catatan sedimen dari tenggat waktu masa lalu. Penemuan berbantuan AI tidak menghilangkan kebutuhan akan validasi ahli, tetapi dapat memperluas pemeriksaan awal: lebih banyak jalur kode dijelajahi, lebih banyak pola mencurigakan ditandai, lebih banyak pekerjaan proof-of-concept dipercepat. Pelaku ancaman bukan penjahat ajaib berhoodie, mereka adalah manajer operasi dengan etika yang lebih buruk, dan mereka menyukai apa pun yang menurunkan biaya tenaga kerja.

Apa yang terekspos, menurut Fox News dan The National Desk Fox

News melaporkan, dalam sebuah cerita yang berfokus pada peringatan Booz Allen, bahwa model AI Tiongkok dapat menyisipkan kerentanan dalam kode yang digunakan oleh pengguna AS. The National Desk juga melaporkan pada 22 Juni 2026, bahwa model AI Tiongkok meningkatkan kekhawatiran keamanan siber setelah sebuah laporan baru. Cuplikan yang tersedia tidak memberikan detail yang cukup untuk menilai mekanismenya secara independen, jadi kesimpulan yang bertanggung jawab bukanlah panik. Kesimpulannya adalah verifikasi.

Bagi para pembela, sisi pembuatan kode dari cerita ini adalah bayangan cermin dari penemuan bug. Jika AI dapat membantu menemukan kerentanan, AI juga dapat menghasilkan kode dengan kerentanan, baik karena kesalahan, perilaku model, konteks prompt, atau entropi perangkat lunak lama yang memakai topi baru. Kode yang dihasilkan harus masuk ke pipeline yang sama seperti kontribusi lainnya: analisis statis, pemeriksaan dependensi, pengujian, tinjauan rekan, dan tinjauan keamanan untuk jalur sensitif. Model tidak mendapat izin khusus hanya karena fasih Python dan tidak pernah meminta asuransi gigi.

Apa arti sebenarnya bagi Anda, menurut Natto Thoughts dan

The National Desk Langkah praktisnya adalah memperlakukan penemuan kerentanan berbantuan AI sebagai masalah alur kerja, bukan kotak ajaib. Gunakan model untuk memilah temuan yang berisik, mengelompokkan laporan duplikat, menjelaskan jalur kode yang mencurigakan, menyusun kasus uji, dan membantu tinjauan kode aman. Lalu minta manusia memvalidasi exploitability, dampak, dan prioritas remediasi, karena model yang percaya diri tetap bisa sangat yakin namun salah, yang membuatnya pada dasarnya seperti konsultan junior dengan autocomplete yang lebih baik.

Tim keamanan juga harus mengukur bagian-bagian yang membosankan. Lacak berapa banyak temuan yang disarankan AI benar-benar nyata, seberapa cepat temuan itu sampai ke pemilik yang tepat, seberapa sering patch menimbulkan regresi, dan repositori mana yang menghasilkan pola berulang. Jika Anda mengadopsi model terbuka atau pihak ketiga, jauhkan prompt dan output dari jalur data sensitif kecuali tim privasi dan hukum Anda telah menyetujui penyiapannya. Ya, itu berarti satu dokumen kebijakan lagi. Maaf. Alternatifnya adalah men-debug tata kelola kode sumber Anda saat panggilan insiden, yang merupakan cara jiwa meninggalkan tubuh.

Fase berikutnya bukan tentang apakah AI menggantikan peneliti kerentanan. Ini tentang apakah peneliti, pengembang, dan pembela mendapatkan daya ungkit yang lebih baik sebelum penyerang melakukannya. Perhatikan evaluasi independen, norma pengungkapan yang lebih jelas, dan alat yang menghubungkan output model ke validasi patch, alih-alih berhenti pada laporan bug yang dramatis. Masa depan milik tim yang mengubah penemuan berbantuan AI menjadi triase, validasi, dan tinjauan kode aman yang disiplin, sebaiknya sebelum backlog mulai menagih uang sewa.