Project Glasswing adalah inisiatif Anthropic yang diumumkan pada 7 April 2026 untuk memakai model AI yang belum dirilis publik, Claude Mythos Preview, dalam mencari celah keamanan di perangkat lunak penting. Anthropic mengklaim model ini sudah menemukan ribuan kerentanan berat, termasuk zero-day di setiap sistem operasi dan browser besar. Per 29 Oktober 2026, angka-angka itu masih berasal dari Anthropic sendiri, sehingga perlu dibaca dengan hati-hati.
Ringkasan Project Glasswing
- Pengumuman: 7 April 2026; pembaruan 22 Mei 2026; Glasswing dilebur ke Cyber Verification Program yang diperluas pada awal Oktober 2026.
- Model: Claude Mythos Preview, model frontier serba guna yang tidak dirilis untuk umum. Penerusnya, Claude Mythos 5 (9 Juni 2026) dan Mythos 5.1 (1 September 2026), juga masih terbatas untuk organisasi terverifikasi.
- Mitra peluncuran: Amazon Web Services, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, Linux Foundation, Microsoft, NVIDIA, dan Palo Alto Networks, bersama Anthropic, ditambah lebih dari 40 organisasi lain.
- Klaim utama (vendor): ribuan kerentanan berat, termasuk bug OpenBSD berusia 27 tahun dan bug FFmpeg berusia 16 tahun.
- Komitmen dana: hingga US$100 juta kredit penggunaan dan US$4 juta donasi untuk organisasi keamanan open source.
- Status verifikasi independen: terbatas; angka berasal dari Anthropic, bukan audit pihak ketiga yang lengkap.
Apa Itu Claude Mythos Preview dan Mengapa Dibatasi
Menurut halaman resmi Project Glasswing, Claude Mythos Preview adalah model frontier serba guna yang diperkenalkan dengan pernyataan bahwa model AI kini mampu melampaui semua manusia kecuali yang paling ahli dalam menemukan dan mengeksploitasi kerentanan perangkat lunak. Karena kemampuan ofensif itulah Anthropic memilih tidak merilisnya ke publik. Akses diberikan kepada para mitra Glasswing dan lebih dari 40 organisasi tambahan untuk keperluan pertahanan.
Anthropic menyatakan hampir semua temuan ditemukan, dan banyak eksploitasinya dikembangkan, secara otomatis tanpa arahan manusia. Detail teknis kerentanan yang belum diperbaiki sengaja ditahan: Anthropic hanya memublikasikan hash kriptografis sebagai bukti bahwa temuan itu ada, lalu membuka rinciannya setelah patch tersedia. Anthropic merujuk norma industri: kerentanan diungkap 90 hari setelah ditemukan, atau sekitar 45 hari setelah patch tersedia bila itu lebih cepat. Pembaca yang belum familiar dengan istilahnya dapat membaca penjelasan tentang kerentanan zero-day dan apa itu CVE.
Klaim Anthropic: Apa yang Diumumkan dan Apa yang Belum Terverifikasi
Pada pembaruan 22 Mei 2026, Anthropic menyebut Anthropic dan sekitar 50 mitra Glasswing telah menemukan lebih dari 10.000 kerentanan berkategori tinggi atau kritis di perangkat lunak penting. Dari pemindaian lebih dari 1.000 proyek open source, model ini menghasilkan 23.019 isu, dan 6.202 di antaranya berkategori tinggi atau kritis. Sebanyak 1.752 temuan dinilai oleh enam firma riset keamanan independen (dalam beberapa kasus oleh Anthropic sendiri): 90,6 persen terbukti benar (true positive) dan 62,4 persen dikonfirmasi berkategori tinggi atau kritis.
Ada beberapa catatan agar angka ini tidak disalahpahami:
- Tingkat akurasi di atas 90 persen hanya berlaku untuk 1.752 temuan yang dinilai, sekitar 28 persen dari 6.202 temuan tinggi atau kritis di proyek open source. Angka itu bukan jaminan untuk seluruh temuan.
- Angka 10.000 lebih menggabungkan temuan Anthropic dan para mitranya tanpa rincian per sumber, sehingga tidak bisa dibandingkan langsung dengan angka open source.
- Anthropic adalah sekaligus pembuat model dan penerbit laporan. Banyak temuan belum dibuka, sehingga pihak luar belum bisa memeriksanya satu per satu.
- Anthropic sendiri menyatakan belum ada perusahaan, termasuk Anthropic, yang punya pengaman cukup kuat untuk mencegah penyalahgunaan model sekelas ini. Itu sebabnya rilis umum ditunda.
Kesimpulannya, arah umumnya masuk akal dan konsisten dengan pengalaman industri bahwa AI makin mahir membaca kode, tetapi jumlah pastinya adalah klaim vendor.
Dampak bagi Patching: Hambatan Bergeser dari Penemuan ke Perbaikan
Pesan paling penting dari pembaruan Mei adalah soal hambatan. Anthropic menyebut hambatannya kini ada pada kapasitas manusia untuk melakukan triase dan memperbaiki, karena menemukan celah jauh lebih mudah daripada memperbaikinya. Sejumlah maintainer bahkan meminta laju pelaporan diperlambat. Saat itu sekitar 530 bug tinggi atau kritis sudah dilaporkan ke maintainer, tetapi baru 75 yang diperbaiki, dan 827 temuan terkonfirmasi lain masih antre untuk dilaporkan. Isu beban laporan ini sejalan dengan keluhan proyek seperti yang dibahas pada artikel tentang curl yang menghentikan program bug bounty pada akhir Januari 2026, antara lain karena banjir laporan berkualitas rendah buatan AI.
Bagi organisasi, konsekuensi praktisnya adalah kemungkinan gelombang pengumuman CVE yang lebih banyak dan jendela antara patch dan eksploitasi yang lebih pendek. Pada 8 Oktober 2026 Anthropic mengumumkan Cyber Mission: Glasswing dilebur ke Cyber Verification Program yang diperluas, ditambah Critical Infrastructure Defense Program untuk penyedia keamanan teknologi operasional (OT) yang diandalkan operator infrastruktur, seperti firma konsultan, perusahaan keamanan, dan produsen peralatan, serta OSS Scanner, layanan gratis dan opt-in yang memindai proyek open source secara berkala. Laporan OSS Scanner dihasilkan model dan dikirim tanpa tinjauan manusia. Anthropic mengakui belum mencapai pengurangan risiko siber yang memadai, dan bahwa memverifikasi, memprioritaskan, dan memperbaiki temuan masih sulit.
Linimasa Singkat
- 7 April 2026: Project Glasswing dan Claude Mythos Preview diumumkan.
- 22 Mei 2026: pembaruan dengan angka 10.000+ temuan dan evaluasi 1.752 temuan.
- 9 Juni 2026: Claude Mythos 5, penerus Mythos Preview, dirilis terbatas untuk mitra terverifikasi.
- 21 Agustus 2026: pemindaian berbasis Mythos 5 tersedia di Claude Security sebagai beta publik untuk pelanggan Claude Enterprise; setiap patch wajib disetujui manusia.
- 1 September 2026: Claude Mythos 5.1 dirilis, aksesnya tetap terbatas.
- 6 Oktober 2026: Cyber Verification Program diperluas menjadi tiga tingkat akses; anggota Glasswing pindah ke tingkat akses khusus.
- 8 Oktober 2026: Anthropic Cyber Mission diumumkan.
Apa yang Sebaiknya Dilakukan Tim IT di Indonesia Sekarang
- Siapkan proses patch yang lebih cepat. Pakai pendekatan patch management berbasis risiko dan jadikan katalog CISA KEV sebagai pemicu prioritas tertinggi.
- Perbarui inventaris perangkat lunak dan dependensi, termasuk komponen open source, agar Anda tahu apa yang terdampak begitu CVE baru terbit.
- Latih tim triase: temuan dari alat AI perlu diverifikasi manusia sebelum jadi tiket mendesak, dan sebaliknya, jangan mengabaikan laporan hanya karena berasal dari AI.
- Gunakan AI untuk pertahanan secara bertanggung jawab, dengan izin tertulis dan di sistem yang memang milik Anda. Menguji sistem pihak lain tanpa izin adalah akses ilegal, yang sejak 2 Januari 2026 diatur dalam Pasal 332 KUHP.
Organisasi yang ingin tahu seberapa mudah celah di sistemnya bisa ditemukan dapat memanfaatkan layanan asesmen keamanan dan penetration testing dari tim profesional.
Pertanyaan yang Sering Diajukan
Apakah Claude Mythos Preview bisa dipakai publik?
Tidak. Mythos Preview sudah digantikan Mythos 5 dan Mythos 5.1, dan per 29 Oktober 2026 model kelas Mythos hanya tersedia bagi organisasi terverifikasi melalui program akses terbatas Anthropic. Anthropic menyatakan rilis umum menunggu pengaman yang lebih kuat.
Apakah klaim ribuan zero-day sudah dikonfirmasi pihak independen?
Sebagian. Enam firma riset independen ikut menilai 1.752 temuan open source, tetapi sebagian besar temuan lain belum dibuka. Karena itu angka total sebaiknya dianggap klaim vendor.
Apakah Project Glasswing masih berjalan?
Pada awal Oktober 2026 Glasswing dilebur ke Cyber Verification Program yang diperluas, dengan anggota lama dipindahkan ke tingkat akses khusus.
Apa dampaknya bagi admin biasa?
Siap-siap menerima lebih banyak pembaruan keamanan. Proses patch yang cepat, inventaris yang akurat, dan prioritas berbasis eksploitasi menjadi lebih penting dari sebelumnya.
Kesimpulan
Project Glasswing menandai pergeseran: yang langka bukan lagi kemampuan menemukan celah, melainkan kapasitas memperbaikinya. Terlepas dari angka pastinya, organisasi perlu memperkuat disiplin patch dan triase. Jika Anda ingin menguji kesiapan sistem dan membangun kemampuan itu, tim Linuxhackingid siap membantu melalui asesmen keamanan dan pendampingan.
Every article is reviewed by the practice lead who ran the work before it is published.