Payward, perusahaan induk bursa mata uang kripto Kraken, bergabung dengan Project Glasswing milik Anthropic pada 17 Agustus dan memperoleh akses terbatas ke Claude Mythos 5 untuk pekerjaan keamanan siber defensif.
Perusahaan berencana menggunakan model kecerdasan buatan untuk memindai lingkungan perangkat lunaknya guna mencari kerentanan selama beberapa minggu mendatang. Temuan akan masuk ke proses tinjauan keamanan Payward yang ada daripada secara otomatis menghasilkan perubahan perangkat lunak.
Payward juga mengatakan berniat untuk mengungkapkan kerentanan yang divalidasi yang memengaruhi proyek sumber terbuka pihak ketiga kepada pengelolanya. Perusahaan tidak mengidentifikasi target pemindaian pertamanya, tidak mempublikasikan jadwal penerapan, atau mengungkapkan biaya akses Mythos 5-nya.
Payward mengatakan Claude Mythos 5 akan memeriksa semua lingkungan perusahaan untuk kelemahan perangkat lunak. Infrastrukturnya mendukung layanan perdagangan aset digital, kustodian, dan penyelesaian yang tetap tersedia secara terus-menerus.
Pengumuman tersebut tidak merinci apakah Mythos 5 akan mendapatkan akses ke sistem produksi, salinan terisolasi dari kode sumber, atau lingkungan pengujian terkontrol. Payward juga tidak menjelaskan bagaimana tim keamanannya akan memvalidasi temuan sebelum menyetujui perbaikan.
Positif palsu tetap menjadi kekhawatiran praktis ketika sistem kecerdasan buatan meninjau perangkat lunak yang kompleks. Sebuah model dapat mengidentifikasi kode yang tidak dapat dijangkau, menduplikasi laporan yang sudah ada, atau salah memahami cara komponen beroperasi dalam produksi. Oleh karena itu, tinjauan manusia diperlukan sebelum tim mengklasifikasikan suatu masalah sebagai kerentanan.
Ethereum Foundation mencapai kesimpulan serupa saat menguji agen keamanan AI. Seperti yang dilaporkan crypto.news, peneliti mereka menemukan bahwa laporan kerentanan yang dihasilkan AI masih memerlukan validasi manusia independen, terutama ketika agen memeriksa kode protokol yang kompleks.
Wakil kepala eksekutif Payward Arjun Sethi mengatakan AI dapat mengubah ketidakseimbangan antara penyerang dan pembela dengan membaca kode dalam skala yang lebih besar.
“Sebuah model dapat membaca setiap baris kode seperti yang dilakukan penyerang, dalam skala mesin, sehingga kami menemukan kelemahan sebelum ada yang dapat membangun eksploitasinya,” kata Sethi.
Pernyataan tersebut menjelaskan keunggulan defensif yang dimaksudkan Payward. Perusahaan belum mempublikasikan hasil yang menunjukkan berapa banyak kelemahan valid yang ditemukan Mythos 5 dalam sistemnya.
Anthropic meluncurkan Project Glasswing pada April 2026 untuk memberikan akses awal kepada penyedia infrastruktur dan pengelola perangkat lunak terpilih ke model keamanan siber terkuatnya.
Peserta awal termasuk Amazon Web Services, Apple, Cisco, CrowdStrike, Google, JPMorganChase, Microsoft, Nvidia, Palo Alto Networks, dan Linux Foundation. Anthropic kemudian memperluas inisiatif tersebut ke sekitar 150 organisasi di lebih dari 15 negara.
Perusahaan mengatakan organisasi yang berpartisipasi harus memenuhi persyaratan keamanan sebelum mendapatkan akses. Mythos 5 tidak tersedia secara umum karena kemampuan yang sama yang digunakan untuk mengidentifikasi kerentanan juga dapat membantu menghasilkan eksploitasi yang berfungsi.
Seperti yang dilaporkan sebelumnya, Anthropic hanya mengembalikan akses Mythos ke organisasi AS yang telah diverifikasi setelah pemerintah AS mencabut pembatasan ekspor sementara. Model Claude Fable 5 yang dilindungi kembali tersedia secara lebih luas.
Payward mengatakan aksesnya mengikuti keputusan AS yang memungkinkan Mythos 5 menjangkau organisasi yang mengoperasikan dan mempertahankan infrastruktur kritis. Halaman model resmi Anthropic mengkonfirmasi bahwa akses dipulihkan untuk sejumlah organisasi AS setelah persetujuan pemerintah.
Baik Anthropic maupun pemerintah AS belum secara terbuka menetapkan setiap platform aset digital sebagai infrastruktur kritis. Pernyataan Payward bahwa platform tersebut "termasuk dalam daftar itu" mewakili posisi perusahaan daripada klasifikasi resmi pemerintah.
Anthropic menggambarkan Claude Mythos 5 sebagai modelnya yang paling mampu untuk penelitian keamanan siber dan biologi. Model ini dapat memeriksa kode, mengidentifikasi kelemahan, menyarankan tambalan, dan membantu peneliti yang disetujui dalam menguji jalur eksploitasi.
Mythos Preview sebelumnya dari Project Glasswing dilaporkan menemukan lebih dari 10.000 kelemahan yang diklasifikasikan sebagai tingkat keparahan tinggi atau kritis di seluruh perangkat lunak yang banyak digunakan. Dasbor pengungkapan terkoordinasi Anthropic menunjukkan 1.596 kerentanan dilaporkan di 281 proyek sumber terbuka hingga 22 Mei.
Angka-angka tersebut adalah pengukuran Anthropic dan tidak berarti setiap temuan model awal valid. Dasbornya mencatat tingkat positif benar sebesar 90,8% di antara 1.900 kandidat yang ditinjau oleh firma keamanan eksternal.
Anthropic mengatakan triage manusia independen tetap menjadi tahap pembatas. Hanya 97 temuan yang terdaftar yang telah ditambal di hulu pada saat pembaruan dasbor, sementara 88 telah menerima pengidentifikasi saran publik.
Model ini juga dapat membuat komponen eksploitasi dan menggabungkannya menjadi rantai serangan. Anthropic menyebutkan kemampuan dwi-guna ini saat menjelaskan mengapa Mythos 5 tetap terbatas pada mitra yang disetujui.
Dalam liputan terkait, peneliti menemukan bahwa model kelas Mythos dapat mengubah kelemahan perangkat lunak menjadi rantai eksploitasi yang berfungsi. Akses yang lebih luas karena itu akan memberikan penyerang beberapa kemampuan yang sama yang tersedia bagi pembela.
Payward mengatakan kerentanan yang ditemukan dalam kode pihak ketiga yang dibagikan akan dikirim ke pengelola proyek yang relevan. Ini menyajikan proses itu sebagai cara untuk melindungi organisasi lain yang menggunakan perangkat lunak yang sama.
Perusahaan tidak mempublikasikan kebijakan pengungkapan terkoordinasi untuk inisiatif tersebut. Detail penting yang belum terjawab termasuk berapa lama waktu yang akan dimiliki pengelola untuk menambal kelemahan, temuan mana yang mungkin diungkapkan Payward secara publik, dan bagaimana ia akan menangani proyek yang tidak merespons.
Pengungkapan yang bertanggung jawab biasanya mengharuskan peneliti untuk memverifikasi kerentanan, menghubungi pengelola secara pribadi, dan memberikan waktu untuk remediasi sebelum merilis informasi teknis. Publikasi prematur dapat mengekspos pengguna sebelum tambalan tersedia.
Payward sebelumnya menghadapi perselisihan mengenai penelitian keamanan. Seperti yang dilaporkan crypto.news, Kraken menambal kelemahan setoran yang digunakan peneliti untuk menarik hampir $3 juta. Bursa tersebut kemudian memulihkan dana setelah ketidaksepakatan publik dengan CertiK.
Episode itu tidak terkait dengan Project Glasswing, tetapi menunjukkan mengapa aturan pengujian dan pengungkapan yang jelas penting. Pemindaian AI dapat meningkatkan jumlah temuan yang dilaporkan, menciptakan pekerjaan tambahan untuk tim keamanan dan pengelola.
Payward berencana untuk mulai memindai lingkungannya dalam beberapa minggu. Pembaruan yang dapat diverifikasi berikutnya akan mencakup kerentanan yang dikonfirmasi, tambalan yang diselesaikan, atau pengungkapan publik yang dikoordinasikan dengan proyek sumber terbuka yang terpengaruh.
Tidak ada target kinerja yang diumumkan. Payward tidak mengatakan seberapa sering Mythos 5 akan memindai sistemnya atau apakah model tersebut akan meninjau kode baru sebelum penerapan.
Anthropic mewajibkan pelanggan Mythos 5 untuk menerima penyimpanan data selama tiga puluh hari untuk pemantauan keamanan. Payward belum menjelaskan kode atau informasi sistem apa yang akan diserahkan, bagaimana data sensitif akan dipisahkan, atau apakah informasi pelanggan berada di luar proses pemindaian.
Untuk saat ini, pengembangan yang dikonfirmasi adalah penerimaan Payward ke Project Glasswing dan penggunaan Claude Mythos 5 yang direncanakan. Apakah model tersebut meningkatkan keamanan perusahaan akan tergantung pada kualitas temuannya, verifikasi manusia, dan kecepatan tambalan berikutnya.
