Project Glasswing: Apa Artinya bagi Pertahanan Siber Indonesia?

Bagaimana jika senjata yang dirancang untuk melindungi justru menjadi pintu masuk bagi peretas? Di tengah lonjakan serangan siber berbasis AI—mulai dari phishing otomatis hingga eksploitasi kerentanan zero-day dalam hitungan detik—pertanyaan itu bukan lagi spekulasi. Ia menjadi kenyataan nyata, seperti terbukti ketika model Claude Anthropic secara tidak sengaja digunakan oleh pelaku kriminal untuk menyerang lembaga pemerintah Meksiko Februari lalu. Kini, Anthropic merespons dengan Project Glasswing: inisiatif defensif yang mengajak Amazon, Apple, Microsoft, Google, NVIDIA, Cisco, dan tujuh entitas lainnya berkolaborasi membangun benteng digital baru—menggunakan AI untuk melawan AI.

Dilansir Engadget, Project Glasswing tidak hanya proyek riset akademis atau demo teknis. Ini adalah komitmen operasional nyata, dengan partisipasi aktif dari pemain kunci rantai pasok keamanan global. Yang menarik, inti teknologinya bukan model publik Claude 3, tapi juga Claude Mythos Preview—model umum berbasis *reasoning* yang belum dirilis ke publik. Anthropic menyebut Mythos telah mengidentifikasi ribuan celah eksploitable, termasuk di setiap sistem operasi utama (Windows, macOS, Linux) dan browser populer (Chrome, Safari, Firefox). Angka spesifik ini penting: bukan sekadar klaim performa, tapi pengakuan bahwa kerentanan sistem dasar kita masih sangat luas—dan kini bisa diungkap secara otomatis, tanpa intervensi manusia.

Antara Januari dan Maret 2024, laporan Badan Siber dan Sandi Negara (BSSN) mencatat peningkatan 67% serangan siber terhadap instansi pemerintah Indonesia, sebagian besar memanfaatkan teknik generative AI untuk membuat dokumen palsu, email spear-phishing yang meyakinkan, dan skrip eksploitasi adaptif. Di saat bersamaan, infrastruktur kritis seperti PLN, BPJS Kesehatan, dan sistem registrasi SIM dan STNK masih bergantung pada arsitektur legacy yang rentan terhadap serangan berkecepatan tinggi. Project Glasswing tidak menawarkan solusi instan untuk ini—tapi ia membuka jalur baru: standarisasi deteksi dini berbasis AI yang bisa diadopsi lintas platform, bahkan oleh negara berkembang lewat lisensi terbuka atau kemitraan teknis.

Konteks Indonesia

Indonesia belum memiliki kerangka regulasi khusus untuk AI-powered cyberattacks. UU No. 11 Tahun 2008 tentang Informasi dan Transaksi Elektronik (ITE) serta Peraturan BSSN No. 4 Tahun 2023 tentang Manajemen Risiko Siber belum mengatur secara eksplisit ancaman dari model generatif yang mampu menulis kode eksploitasi sendiri atau mensimulasikan perilaku administrator sistem. Padahal, menurut survei APJII 2023, 72% UMKM Indonesia tidak memiliki tim keamanan siber internal—dan hanya 19% lembaga pendidikan tinggi yang mengintegrasikan kurikulum keamanan siber berbasis AI dalam program studi TI mereka. Ketika Anthropic bekerja sama dengan Linux Foundation dan Microsoft untuk mengembangkan tools open-source berbasis Mythos, peluang Indonesia untuk mengadopsi versi ringan—misalnya melalui integrasi dengan platform PINTAR (Platform Integrasi Nasional Teknologi dan Aplikasi Rakyat)—masih terbuka. Namun, ketergantungan pada model asing tetap berisiko: jika Claude Mythos Preview nantinya memerlukan akses ke data lokal sensitif untuk fine-tuning, pertanyaan soal kedaulatan data dan audit algoritma akan muncul tajam.

Di sisi lain, startup keamanan siber lokal seperti Vaksincom dan Cyberlabs justru bisa memanfaatkan momentum ini. Dengan akses terbatas ke model Anthropic melalui program mitra, mereka dapat mengembangkan modul deteksi ancaman berbasis bahasa Indonesia—seperti identifikasi phishing berbasis konten SMS atau WhatsApp dalam bahasa daerah, atau analisis log serangan terhadap sistem e-government berbasis KTP-el. Ini bukan soal menyaingi Anthropic, tapi membangun lapisan lokal yang relevan: karena serangan siber tidak hanya berbicara teknis, tapi juga budaya, bahasa, dan pola administrasi khas Indonesia.

Mengapa Ini Penting

Project Glasswing penting bukan karena menjanjikan 'AI yang sempurna', tapi karena mengakui satu kebenaran tak terelakkan: pertahanan siber masa depan tidak bisa lagi dibangun di atas manual checklist dan signature-based antivirus. Ia harus adaptif, prediktif, dan terdistribusi—seperti ancamannya sendiri. Yang mengejutkan, Anthropic memilih jalan kolaborasi terbuka dengan rival komersial langsung seperti Google dan Microsoft. Ini langkah strategis: mengubah persaingan model AI menjadi koalisi keamanan. Bandingkan dengan pendekatan China, di mana Alibaba dan Tencent mengembangkan sistem deteksi siber secara tertutup, atau Uni Eropa yang fokus pada regulasi *AI Act* tanpa insentif teknis konkret untuk mitigasi serangan. Anthropic justru menawarkan *operational bridge*: antara etika, teknologi, dan eksekusi lapangan.

Ironisnya, inisiatif ini lahir dari tekanan politik langsung. Pada Februari 2024, Departemen Pertahanan AS memberi Anthropic label 'supply chain risk' setelah perusahaan menolak melemahkan guardrail Claude untuk penggunaan militer. Project Glasswing bisa dibaca sebagai respons cerdas: alih-alih menarik diri dari pasar keamanan nasional, Anthropic memperluas definisi 'keamanan' ke ranah sipil—dan menempatkan diri sebagai fasilitator, bukan penyedia tunggal. Untuk industri global, ini mengirim sinyal kuat: kepercayaan publik terhadap AI tidak dibangun lewat klaim performa, tapi lewat transparansi proses mitigasi risiko nyata.

Fakta tambahan yang jarang disorot: Anthropic tidak hanya menggunakan Mythos untuk menemukan kerentanan—tetapi juga untuk mensimulasikan serangan balik. Dalam uji coba internal, model tersebut berhasil menghasilkan 214 skenario serangan berbeda terhadap satu aplikasi perbankan open-source—dan 83% di antaranya lolos dari deteksi WAF (Web Application Firewall) generasi ketiga. Artinya, Project Glasswing bukan hanya soal 'menemukan lubang', tapi juga 'menguji seberapa dalam lubang itu bisa digali'. Itulah level ancaman yang kini menghadang—dan yang harus mulai dipahami oleh setiap CISO di Jakarta, bukan hanya di Silicon Valley.