Microsoft Dikabarkan Siapkan Project Perception: Perang "Biaya" Keamanan Siber AI Segera Dimulai

Pukul dua pagi, seorang staf operasional keamanan siber (SecOps) di sebuah lembaga keuangan di Taiwan menerima peringatan (alert) bahwa kerentanan eksekusi jarak jauh (RCE) telah ditemukan pada sebuah package pihak ketiga. Hal pertama yang harus dia lakukan bukanlah memperbaikinya, melainkan mencari tahu—berapa banyak sistem di perusahaan yang menggunakan package tersebut. Proses pencarian ini dulunya sering kali memakan waktu dua hingga tiga hari.

Repotnya pekerjaan semacam inilah yang ingin diselesaikan oleh perlombaan senjata keamanan siber AI gelombang ini. Dan menurut laporan eksklusif dari The Information, Microsoft bersiap untuk terjun ke gelanggang.

Latar Belakang Peristiwa

Untuk memahami mengapa Project Perception layak menjadi berita, kita harus kembali ke bulan April. Pada tanggal 7 April, Anthropic mengungkapkan model keamanan siber tingkat lanjut dengan nama sandi Claude Mythos. Dalam pengujian, model ini secara mandiri menemukan ribuan kerentanan perangkat lunak yang sebelumnya tidak terdeteksi, termasuk kerentanan remote crash berusia 27 tahun di OpenBSD, serta celah berusia 16 tahun di FFmpeg yang bertahan dari lima juta uji otomatis tanpa tertangkap. Yang lebih krusial, model ini tidak hanya menemukan celah, tetapi juga dapat menulis exploit yang dapat digunakan secara mandiri.

Anthropic tidak merilis Mythos untuk publik, melainkan secara bersamaan mengumumkan Project Glasswing—sebuah inisiatif defensif untuk mengarahkan kemampuan tersebut guna "menambal perangkat lunak kritis." Mitra pendirinya meliputi AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, Linux Foundation, Microsoft, NVIDIA, dan Palo Alto Networks. Kami telah membahas hal ini di artikel 〈Anthropic Project Glasswing dan Mythos〉. SecurityWeek kemudian juga melaporkan bahwa Badan Keamanan Siber dan Infrastruktur Amerika Serikat (CISA) telah menggunakan Mythos untuk memindai perangkat lunak pemerintah.

Kemampuannya sudah jelas, masalahnya kini ada pada biaya. Menjalankan pemindaian kerentanan menggunakan model terkuat membuat biaya per eksekusi sangat mahal, hingga hanya pemerintah dan lembaga keuangan besar yang mampu membelinya.

Poin Utama Kali Ini

• Laporan eksklusif The Information menyatakan bahwa Microsoft sedang mengembangkan alat keamanan siber AI dengan nama sandi Project Perception, yang dijadwalkan akan debut paling cepat bulan ini.
• Intinya adalah perutean multi-model (multi-model routing): Tidak terikat pada satu model saja, melainkan mendistribusikan setiap tugas keamanan ke model buatan Microsoft sendiri, OpenAI, atau Anthropic berdasarkan tingkat kesulitannya.
• Berfokus pada biaya: Hanya mencadangkan model tingkat atas yang paling mahal untuk langkah-langkah penalaran yang benar-benar membutuhkan, sehingga menekan biaya rata-rata "per laporan kerentanan."
• Posisi yang jelas: Media secara luas menafsirkannya sebagai alternatif berbiaya rendah untuk Anthropic Mythos.
• Poin penting yang sering diabaikan: Microsoft sendiri adalah salah satu mitra pendiri Project Glasswing—artinya mereka ikut serta dalam aliansi, sekaligus mengembangkan produk pesaing mereka sendiri.

Perlu ditekankan dengan jelas: Project Perception saat ini belum secara resmi diumumkan oleh Microsoft, tidak ada versi beta publik yang dapat didaftarkan, dan penetapan harganya juga belum final. Semua informasi di atas berasal dari laporan media dan belum dikonfirmasi oleh Microsoft. Oleh karena itu, anggaplah ini sebagai sinyal tren industri, bukan produk yang dapat dimasukkan ke dalam proposal pengadaan tahun ini.

Analisis Dampak Pasar

Bagi pengguna di Taiwan: Masyarakat umum mungkin tidak akan bersentuhan langsung dengan alat tingkat perusahaan ini dalam waktu dekat, tetapi ini akan berdampak secara tidak langsung. Sistem operasi dan peramban yang berjalan di ponsel dan komputer Anda justru menjadi target prioritas yang dipindai oleh para pemburu celah AI ini. Terjemahan bebasnya: pembaruan dalam satu atau dua tahun ke depan mungkin akan menjadi lebih sering, dan beberapa pembaruan kecil yang tampak tidak biasa di balik layar mungkin merupakan celah lama yang ditemukan oleh AI. Pasang pembaruan yang diperlukan, ini adalah makna paling pragmatis dari berita ini bagi individu.

Untuk aplikasi perusahaan: Desain perutean multi-model ini layak untuk dipelajari oleh tim keamanan siber di Taiwan, karena yang diselesaikannya bukan hanya masalah keamanan, melainkan masalah struktur biaya yang dihadapi oleh semua proyek penerapan AI. Logika yang sama dapat diterapkan pada layanan pelanggan, peninjauan dokumen, dan pemeriksaan kode—permintaan yang sederhana dialirkan ke model yang murah, dan hanya permintaan yang sulit yang ditingkatkan ke model yang lebih canggih. Keunggulan Microsoft bukan pada teknologinya yang sangat ajaib, melainkan pada salurannya: Defender, Azure, dan M365 sudah tertanam di sana, di mana sebuah checkbox dapat langsung mengaktifkannya. Hal ini sulit ditiru oleh Anthropic dalam waktu dekat.

Sebaliknya, risiko pengikatan vendor (vendor lock-in) adalah hal yang harus diwaspadai oleh perusahaan. Semakin dekat alat tersebut terintegrasi dengan ekosistem Microsoft yang sudah ada, semakin mahal pula biayanya jika nanti ingin beralih. Saat bernegosiasi, disarankan untuk memasukkan klausul "apakah hasil pemindaian dan data kerentanan dapat diekspor ke dalam format standar".

Bagi pengembang: Dampak hal ini terhadap alur kerja pengembangan jauh lebih besar daripada yang dibayangkan kebanyakan orang. Jika pemindaian AI menjadi sangat murah hingga dapat dijalankan pada setiap commit, maka "keamanan" akan berubah dari penghalang sebelum rilis menjadi bagian dari rutinitas sehari-hari. Saat ini sudah ada alat pemindaian statis seperti Semgrep dan Snyk yang melakukan hal serupa. Perbedaannya adalah model AI dapat memahami kerentanan logika lintas file dan lintas modul, alih-alih sekadar mencocokkan pola yang sudah diketahui. Dipadukan dengan alat seperti GitHub Copilot, peninjauan PR di masa depan kemungkinan besar akan memiliki kolom tambahan berupa "Saran Keamanan AI".

Namun sejujurnya, positif palsu (false positive) akan menjadi kendala pertama yang harus dihadapi. Pemindaian yang lebih murah bukan berarti biaya tenaga kerja menjadi murah. Jika dalam sehari ada tiga ratus "dugaan kerentanan" yang dilemparkan kepada para insinyur, itu sama saja tidak ada gunanya.

Tren Perkembangan Masa Depan

Menurut saya, perkembangannya akan mengarah ke tiga arah berikut:

Pertama, alat keamanan siber AI akan dengan cepat dikomersialkan. Anthropic memiliki Mythos, OpenAI memiliki proyek keamanan yang dilaporkan sebelumnya (yang kami tulis dalam artikel 〈Proyek Keamanan Siber OpenAI Daybreak〉), dan Microsoft kini dikabarkan memiliki Project Perception—dalam waktu satu tahun, ini akan menjadi fitur standar bagi penyedia layanan cloud, bukan lagi titik penjualan yang membedakan dari yang lain.

Kedua, asimetri antara serangan dan pertahanan akan semakin parah. Pihak bertahan harus mengandalkan pengadaan dan anggaran untuk mendapatkan kemampuan ini, sementara pihak penyerang hanya membutuhkan satu model sumber terbuka (open-source) ditambah daya komputasi yang cukup untuk mulai mencoba. Inilah sebabnya mengapa Anthropic memilih untuk tidak merilis Mythos ke publik. Apakah praktik "sengaja tidak merilis" ini akan menjadi kebiasaan industri adalah jalur yang sangat layak untuk diamati berikutnya.

Ketiga, kepatuhan regulasi akan menyusul. Ketika badan pengawas mengetahui bahwa ada alat di pasaran yang dapat secara otomatis menemukan celah, alasan seperti "Kami tidak tahu ada kerentanan ini" akan kehilangan daya persuasifnya. Industri yang berada di bawah regulasi ketat seperti keuangan dan perawatan kesehatan kemungkinan besar akan menjadi yang pertama diminta untuk menjelaskan apa yang telah mereka lakukan.

Kesimpulan dan Komentar TheAI学院

Kembali ke staf operasional lembaga keuangan tersebut. Apa yang sebenarnya dia butuhkan bukanlah pemburu celah yang lebih cerdas, melainkan sesuatu yang dapat memberi tahu dia dalam waktu tiga menit, "Lima sistem mana yang bermasalah, dan mana yang harus diperbaiki terlebih dahulu." Menekan biaya mungkin terdengar tidak seksi, tetapi hal inilah yang menentukan apakah kemampuan semacam itu hanya mampu dibeli oleh segelintir orang, atau dapat diakses oleh setiap tim SecOps setiap kali mereka mendapat masalah di tengah malam.

Komentar: Penentu kemenangan yang sebenarnya dalam perlombaan keamanan siber AI kali ini bukanlah siapa yang menemukan celah paling banyak, melainkan siapa yang dapat menekan harga satuan "pencarian celah" hingga dapat dijalankan setiap hari.

Saran konkret untuk pembaca di Taiwan: Pertama, jika Anda adalah penanggung jawab keamanan siber atau IT, jangan terburu-buru menunggu Project Perception—bahkan belum ada pengumuman resmi. Pendekatan yang pragmatis adalah dengan terlebih dahulu merapikan inventaris aset Anda dan SBOM (Software Bill of Materials), karena efektivitas semua alat pemindaian AI didasarkan pada premis "Anda tahu apa yang Anda miliki." Kedua, Anda dapat mulai menggunakan Semgrep atau Snyk yang sudah ada untuk membangun kebiasaan pemindaian dasar, dan menumpuk alat AI di atasnya ketika sudah matang. Ketiga, ubah metode perhitungan anggaran untuk alat keamanan siber AI dari "jumlah lisensi" menjadi "biaya per pemindaian × frekuensi pemindaian" untuk evaluasi. Inilah dampak nyata dari desain perutean multi-model terhadap Anda. Keempat, manfaatkan skenario tugas AI (AI task scenarios) dan template prompt (prompt templates) yang telah kami susun agar tim Anda terbiasa menggunakan AI untuk membaca log dan menulis laporan insiden. Skenario tingkat rendah yang berisiko rendah ini lebih mudah menunjukkan hasil yang nyata dibandingkan langsung melompat mengadopsi platform pemindaian secara penuh.

Sumber Data

• TechRepublic: Microsoft's 'Project Perception' Could Challenge Anthropic's Mythos in AI Security
• Anthropic: Project Glasswing — Securing critical software for the AI era
• SecurityWeek: CISA Reportedly Using Anthropic's Mythos to Scan Government Software for Flaws

Artikel ini disusun berdasarkan informasi publik. Project Perception belum secara resmi diumumkan oleh Microsoft; konten terkait bersumber dari laporan media, dan fitur, jadwal, serta penetapan harga sepenuhnya tunduk pada pengumuman resmi.