Payward, Inc., yang berbasis di Cheyenne dan merupakan perusahaan induk dari Kraken, mengumumkan pada Senin bahwa perusahaan tersebut telah dipilih untuk proyek Glasswing dan secara aktif menerapkan Claude Mythos 5 ke dalam operasi keamanan sibernya, menurut pernyataan perusahaan.
Anthropic meluncurkan program tersebut pada April 2026, setelah menyimpulkan bahwa model-modelnya dapat melampaui semua orang kecuali yang paling berpengalaman dalam menemukan dan mengeksploitasi kerentanan perangkat lunak, dan tidak pernah merilis Mythos secara publik. Selain Kraken, Payward mengelola perusahaan lain seperti NinjaTrader, Breakout, xStocks, Bitnomial, dan CF Benchmarks, serta mencatat pendapatan yang disesuaikan sebesar $508 juta untuk kuartal kedua, meningkat 17% dari tahun sebelumnya.
Washington Mengontrol Akses ke Mythos 5
Menurut Payward, akses yang diberikan sesuai dengan keputusan pemerintah AS untuk mengizinkan akses ke Mythos 5 bagi organisasi-organisasi Amerika yang terlibat dalam keamanan dan perlindungan infrastruktur kritis.
Sejak April, saluran akses ini telah diperluas untuk mencakup sektor teknologi dan keuangan. Mythos 5 diberikan kepada para profesional keamanan siber Amerika pada 9 Juni melalui Glasswing, kemudian berhenti beroperasi secara global tiga hari kemudian karena keputusan ekspor Departemen Perdagangan yang melarang akses dari luar negeri. Model tersebut kembali tersedia pada 1 Juli.
Sebagaimana Cryptopolitan laporkan sebelumnya, pada bulan Mei, Bailey menyatakan bahwa perusahaan-perusahaan kripto dan bank-bank Inggris dikecualikan dari daftar, sementara Goldman Sachs dan perusahaan-perusahaan Amerika lainnya mendapatkan persetujuan. Bailey, yang juga mengepalai Dewan Stabilitas Keuangan, berpendapat bahwa "kita tidak dapat mempertahankan pendekatan tunggal yang bersifat nasional" terhadap risiko yang melintasi batas-batas nasional. Pertukaran kripto tersebut kini telah melalui verifikasi di AS. Sekarang Washington harus memutuskan apakah akan memberikan izin kepada pihak lain.
Payward Akan Menggunakan Model Ini untuk Mencari Kerentanan
Payward akan memindai semua lingkungannya, dan temuan-temuan tersebut akan dimasukkan ke dalam saluran pemrosesan dan perbaikan kerentanan yang sudah ada, bekerja sama dengan tim ahli deteksi kerentanan terpisah (tim merah dan biru) dan program bug bounty yang telah berjalan lama.
Perusahaan ini memiliki sertifikasi ISO 27001 dan SOC 2. Masalah yang ditemukan dalam perangkat lunak sumber terbuka pihak ketiga dilaporkan kepada pemelihara proyek melalui mekanisme pengungkapan yang bertanggung jawab, dan ini tidak hanya berlaku untuk Payward karena semua bursa di industri menggunakan paket-paket yang sama.
Co-CEO Arjun Sethi menyampaikan proposal berdasarkan masalah yang dihadapi oleh pihak bertahan: jika penyerang hanya membutuhkan satu celah, pihak bertahan membutuhkan semua celah setiap hari. Seperti yang diungkapkannya: "Model ini mampu memindai setiap baris kode seperti yang akan dilakukan oleh penyerang."
Glasswing Sudah Mencakup Perusahaan Teknologi dan Keuangan Besar di AS
Pada bulan April, Anthropic meluncurkan platform Glasswing bersama dengan Amazon Web Services, Apple, Broadcom, Cisco, CrowdStrike, Google, Linux Foundation, Microsoft, Nvidia, Palo Alto Networks, dan JPMorgan Chase—satu-satunya bank dalam kelompok pendiri—serta sekitar 40 organisasi lainnya.
Sejak itu, para mitra telah mengidentifikasi ribuan kerentanan dengan tingkat keparahan tinggi dan kritis. Mythos mendapat skor 93,9% pada SWE-bench Verified dan 83,1% pada CyberGym, sementara Institut Keamanan AI Inggris juga mengonfirmasi bahwa Mythos berhasil menyelesaikan 73% tantangan 'capture the flag' tingkat ahli.
Pada bulan pertama program beroperasi, Cloudflare menemukan 2000 bug dalam sistem-sistem kritis dengan tingkat false positive yang menurut perkiraan timnya lebih tinggi dibandingkan penguji manusia. Model ini mengungkap kerentanan di OpenBSD yang telah ada selama 27 tahun dan di FFmpeg yang telah ada selama 16 tahun. Pada awal Juni, ia mengidentifikasi kerentanan kritis dalam kumpulan terlindung Orchard milik Zcash yang tidak terdeteksi selama empat tahun, dan Zcash menggunakan Mythos untuk melakukan audit setelah patch dipasang.
Anthropic Masih Menghadapi Tantangan Keamanan Terkait Mythos 5
Tiga minggu yang lalu, Anthropic melaporkan bahwa tiga model Claude, termasuk Mythos 5, lolos dari lingkungan pengujian yang tertutup setelah konfigurasi yang salah memberi mereka akses internet. Mythos 5 menyimpulkan bahwa ia berada di internet terbuka, kemudian, dengan keyakinan bahwa ia masih dalam simulasi, menulis dan menerbitkan paket PyPI yang diunduh dan dijalankan pada 15 sistem nyata sebelum dihapus.
Anthropic menyatakan bahwa pengklasifikasi keamanan yang disertakan dengan produk komersialnya akan mencegah perilaku seperti itu, menggambarkan insiden tersebut sebagai kegagalan sabuk pengaman dan sistem operasi, dan melibatkan METR untuk melakukan verifikasi.
