Ahli Keamanan Siber Desak Gedung Putih Cabut Larangan Model Anthropic

Lebih dari 40 ahli keamanan siber dari perusahaan seperti Mandiant, Rapid7, dan MITRE serta mantan pejabat NSA dan CISA melayangkan surat terbuka ke Gedung Putih meminta pencabutan segera atas pembatasan ekspor terhadap dua model kecerdasan buatan Anthropic: Fable dan Mythos. Mereka menyebut kebijakan itu 'berbahaya' karena secara langsung melemahkan kapasitas tim keamanan dalam mendeteksi celah keamanan di kode perangkat lunak skala industri.

Alat Deteksi Kerentanan yang Tak Tergantikan

Fable dan Mythos bukan model umum seperti Claude atau Llama. Keduanya dirancang khusus untuk analisis statis dan dinamis kode — membaca ribuan baris kode dalam hitungan detik, mengidentifikasi pola kerentanan seperti buffer overflow, SQL injection, atau hard-coded credential. Menurut TechCrunch AI, Anthropic mengembangkan kedua model ini bekerja sama dengan tim keamanan siber Departemen Pertahanan AS selama lebih dari 18 bulan, dengan fokus eksklusif pada aplikasi 'security-first'. Berbeda dengan model generik yang bisa disalahgunakan untuk reverse engineering atau exploit generation, Fable dan Mythos dibatasi aksesnya hanya melalui API terenkripsi dan audit log ketat — tidak tersedia sebagai open-weight maupun download lokal.

Surat tersebut menegaskan bahwa pembatasan ekspor tidak hanya menghambat akses perusahaan global, tetapi juga memperlambat adopsi oleh tim internal pemerintah AS sendiri. Sebab, banyak lembaga federal seperti NIST dan DHS masih bergantung pada integrasi lintas batas untuk uji coba dan validasi tools keamanan. Ketika model tidak bisa di-deploy di lingkungan cloud hybrid milik mitra keamanan non-AS, proses verifikasi kerentanan jadi tiga kali lebih lambat — berdasarkan laporan internal CISA yang dikutip dalam surat.

Kontradiksi dalam Strategi Keamanan Nasional AS

Yang membuat kebijakan ini kontroversial adalah inkonsistensinya dengan dokumen strategis keamanan nasional AS sendiri. National Cybersecurity Strategy 2023 menekankan 'secure by design' dan 'shift left' — artinya, mengintegrasikan keamanan sejak tahap pengembangan perangkat lunak, bukan setelah rilis. Namun, larangan ekspor Fable dan Mythos justru menghalangi insinyur keamanan di perusahaan teknologi global untuk menjalankan otomatisasi deteksi dini di pipeline CI/CD mereka. Padahal, menurut data Snyk State of Open Source Security 2024, 68% kerentanan kritis ditemukan dalam fase development — bukan saat produksi.

Baca juga: AI Pelindung Colokan Listrik Mobil Listrik

Tidak ada alternatif komersial yang setara saat ini. Model seperti CodeLlama atau DeepSeek-Coder memang tersedia, tetapi tidak dilatih khusus untuk skenario keamanan siber, dan tidak memiliki fitur 'explanation traceability' — kemampuan menunjukkan jejak logika deteksi hingga baris kode spesifik. Ini penting untuk audit regulasi seperti ISO/IEC 27001 atau NIST SP 800-218. Anthropic bahkan telah mengirimkan laporan validasi independen dari UL Solutions kepada BIS (Bureau of Industry and Security), namun belum ada respons publik.

Di Indonesia, dampaknya tidak langsung tapi nyata. Perusahaan fintech dan startup e-government yang mengandalkan platform keamanan berbasis cloud global — seperti yang dipakai oleh Bank Central Asia atau BPJS Kesehatan dalam integrasi API keamanan — bisa mengalami penundaan sertifikasi jika vendor mereka tak lagi bisa mengakses Fable untuk scanning otomatis. Belum lagi risiko ketergantungan pada solusi lokal yang belum matang: menurut laporan Kominfo 2023, hanya 12% laboratorium keamanan siber nasional yang memiliki kapasitas pelatihan model AI khusus keamanan.

protes ini bukan gerakan anti-regulasi. Para penandatangan justru mendukung kontrol ekspor untuk model berisiko tinggi seperti 'jailbreak-capable' atau 'dual-use' yang bisa digunakan untuk serangan siber ofensif. Mereka menuntut diferensiasi — bukan pelarangan menyeluruh, melainkan klasifikasi berbasis use case. Fable dan Mythos, kata surat itu, adalah 'scalpel', bukan 'sledgehammer': alat presisi untuk pertahanan, bukan senjata serba guna untuk serangan.

Rangkuman dampak langsung dari kebijakan ini jelas: tim keamanan siber di seluruh dunia kehilangan satu-satunya alat AI berlisensi yang dirancang khusus untuk deteksi kerentanan pra-rilis; proses audit keamanan perangkat lunak menjadi lebih lambat dan kurang transparan. Dan tekanan meningkat pada regulator nasional untuk mempercepat pengembangan standar keamanan AI yang membedakan antara model ofensif dan defensif — bukan sekadar membatasi semua model berdaya tinggi secara bersamaan.