Seorang peneliti keamanan yang menggunakan Claude Opus 4.8 milik Anthropic menemukan cacat kritis di pool privasi Orchard Zcash dalam hitungan hari, mengungkap kerentanan yang telah bertahan selama empat tahun peninjauan oleh kriptografer zero-knowledge terkemuka.
Pengungkapan tersebut membuat harga ZEC anjlok sekitar 38% pada hari Kamis dan menimbulkan kekhawatiran yang lebih luas bagi industri kripto mengenai model AI frontier yang semakin mahir dalam menemukan kerentanan dibandingkan kebanyakan manusia.
"Signifikansinya sebenarnya bukan karena AI bisa menemukan bug," kata Ben Goertzel, pendiri dan CEO SingularityNET, kepada Decrypt. "Ini adalah jenis bug yang sekarang bisa ditemukannya telah berubah."
Daripada hanya menandai kesalahan pengkodean yang jelas, model frontier semakin mampu bernalar tentang apakah perangkat lunak berperilaku sesuai dengan yang dimaksudkan oleh perancangnya, katanya.
Pada bulan Mei, Taylor Hornby, seorang peneliti keamanan yang dipekerjakan oleh Shielded Labs, menemukan cacat kritis di sirkuit Orchard Zcash dengan bantuan Claude Opus 4.8 milik Anthropic. Tersembunyi dalam dua baris kode, bug tersebut berasal dari pemeriksaan yang tampaknya memvalidasi input transaksi tetapi sebenarnya tidak menegakkan aturan yang dimaksud, berpotensi memungkinkan penyerang untuk membuat ZEC palsu di dalam pool terlindungi tanpa terdeteksi. Hornby membuat exploit yang berfungsi untuk memverifikasi kerentanan sebelum melaporkannya kepada pengembang. Perbaikan darurat telah diterapkan pada 1 Juni.
Menambah kepanikan yang melanda Zcash dan pasar kripto yang lebih luas pada hari Kamis dan Jumat adalah fakta bahwa cacat tersebut telah tidak terdeteksi selama lebih dari empat tahun.
Bagi Goertzel, penemuan ini signifikan tidak hanya karena AI menemukan kerentanan, tetapi juga karena menunjukkan model baru untuk penelitian keamanan.
"Saya pikir ini adalah penanda awal dari pergeseran yang sulit untuk dilebih-lebihkan," katanya. "Model penelitian keamanan sebagai segelintir spesialis manusia yang dihormati melakukan audit yang lambat, artisanal, dan sangat ahli tidak akan hilang, tetapi tidak lagi menjadi satu-satunya cara."
Goertzel mengatakan cacat Orchard termasuk dalam kelas bug logika halus yang semakin mampu ditemukan oleh model AI frontier, termasuk kesalahan smart contract, kegagalan kontrol akses, dan situasi di mana perangkat lunak berperilaku berbeda dari yang dimaksudkan oleh perancangnya. Saat kemampuan tersebut meningkat, ia menambahkan bahwa penelitian keamanan bergeser ke arah model di mana spesialis manusia mengawasi tinjauan berkelanjutan yang digerakkan oleh AI yang dapat menganalisis basis kode jauh lebih ekstensif daripada audit tradisional.
Respons Zcash itu sendiri mungkin menawarkan pratinjau masa depan tersebut, kata Goertzel.
"Shielded Labs membawa peneliti secara khusus untuk mencari cacat tingkat protokol dengan model frontier sebelum pelaku jahat dapat melakukannya, saya curiga, adalah template, bukan pengecualian," kata Goertzel. "Tinjauan proaktif, yang dibantu AI, dan dirancang secara adversarial menjadi hal yang lumrah, dan protokol yang tidak mengadopsinya akan semakin sering mengetahui kerentanannya dari penyerang daripada dari pihak yang ramah."
Menurut Sean Ren, CEO Sahara AI dan profesor ilmu komputer di University of Southern California, kemajuan dalam AI juga membentuk kembali keseimbangan antara penyerang dan pembela karena model frontier dapat dengan cepat menguji strategi serangan, belajar dari hasilnya, dan mengungkap kelemahan.
"Untuk membangun pertahanan yang lebih baik, kita harus menggunakan model AI frontier ini sebagai penyerang potensial untuk menguji sistem-sistem ini secara menyeluruh," kata Ren kepada Decrypt.
Ren mengatakan jaringan blockchain sangat rentan karena kode sumber terbukanya dapat dianalisis langsung oleh model AI frontier, yang dapat dengan cepat menguji strategi serangan dan mengidentifikasi kerentanan lebih cepat daripada tinjauan keamanan tradisional.
"Jika Anda memikirkan laboratorium model frontier seperti OpenAI, Anthropic, dan Google DeepMind, mereka memiliki akses lebih awal ke model-model terkuat yang belum dipublikasikan dan dapat melakukan banyak eksperimen pada sistem jaringan publik seperti blockchain, sehingga mereka memiliki kekuatan yang ada di tangan,” katanya. “Jika seseorang dengan niat jahat memiliki akses ke kemampuan tersebut, mereka dapat melakukan serangan dan menciptakan kerentanan.”
Jendela waktu itu mungkin akan tertutup lebih cepat dari yang banyak orang duga, dan menurut Danny Jenkins, CEO dan salah satu pendiri perusahaan keamanan siber ThreatLocker, penemuan kerentanan yang dibantu AI berkembang lebih cepat daripada kemampuan banyak organisasi untuk mengamankan perangkat lunak yang sudah mereka gunakan.
"Kita memiliki celah besar yang akan membutuhkan waktu bertahun-tahun untuk diselesaikan," kata Jenkins kepada Decrypt. "Semua perangkat lunak ini akan memiliki semua kerentanan ini, kita tidak akan memiliki perbaikan atau pembaruan untuk waktu yang lama, dan orang-orang akan dapat menemukan kerentanan itu dengan sangat cepat."
Jenkins mengatakan AI tidak secara fundamental mengubah penelitian kerentanan, melainkan mempercepatnya secara dramatis. Tugas-tugas yang dulu membutuhkan peneliti keamanan untuk meninjau kode dan merekayasa balik perangkat lunak secara manual kini dapat dilakukan dalam hitungan detik oleh model modern.
"Pra-AI, ancaman dan eksploitasi keamanan siber meningkat setiap tahun,” katanya. “Pasca-AI, ini menjadi lebih cepat, dan saya pikir ini menjadi lebih cepat karena dua alasan. Pertama, Anda sekarang dapat menggunakan AI untuk membantu menemukan kerentanan dan eksploitasi, dan jumlah orang yang memiliki kemampuan untuk melakukan ini telah berkembang pesat. Anda tidak perlu menjadi seorang script kiddie sekarang.”
Meskipun ada risiko tersebut, Goertzel berpendapat bahwa kripto mungkin berada di posisi yang lebih baik daripada industri lain untuk beradaptasi karena kodenya bersifat terbuka, dan komunitasnya sangat berfokus pada keamanan.
"Kripto berdiri paling dekat dengan pintu, tetapi juga merupakan bagian dari ruangan yang dapat melihat pintu itu datang," katanya.
