VulnCheck Nilai Hasil Glasswing Anthropic Belum Sepadan Setelah Tujuh Bulan
VulnCheck, perusahaan intelijen kerentanan, menilai Project Glasswing milik Anthropic belum menghasilkan dampak sebesar klaim peluncurannya. Dalam analisis yang terbit pada 9 November 2026, peneliti Patrick Garrity mencatat 442 CVE yang bisa dikaitkan dengan Anthropic, hanya sekitar 0,5 persen dari 93.450 CVE yang terbit tahun ini, dan hanya dua yang terbukti dieksploitasi di dunia nyata. Temuan ini menyoroti masalah yang diakui Anthropic sendiri: menemukan celah jauh lebih cepat daripada memverifikasi dan menambalnya.
Apa yang Dihitung VulnCheck Setelah Tujuh Bulan Glasswing?
VulnCheck melacak 442 CVE yang dikaitkan dengan Anthropic sejak 17 April 2026, rata-rata 63 per bulan atau sekitar 0,5 persen dari 93.450 CVE yang terbit tahun ini. Hanya dua di antaranya, CVE-2026-61500 dan CVE-2026-26980, tercatat dieksploitasi di dunia nyata dalam katalog VulnCheck KEV, setara 0,45 persen.
Project Glasswing diluncurkan Anthropic pada 7 April 2026 dengan pernyataan bahwa perusahaan telah menemukan ribuan kerentanan berkeparahan tinggi dan kritis yang akan diungkap secara bertanggung jawab kepada pengelola proyek open source. Garrity mengaku heran dengan sedikitnya bukti yang menyertai klaim itu, sehingga ia mulai melacak hasilnya sendiri lewat repositori terbuka.
Anthropic memang pernah melaporkan angka yang besar. Dalam pembaruan 22 Mei 2026, perusahaan menyebut sekitar 50 mitra Glasswing menemukan lebih dari sepuluh ribu kerentanan berkeparahan tinggi atau kritis dalam sebulan, termasuk 2.000 bug di sistem Cloudflare dengan 400 di antaranya berkeparahan tinggi atau kritis.
Garrity tidak menolak manfaat pendekatan ini. "AI adalah alat yang berharga untuk menemukan kerentanan, dan saya tidak meremehkan hal itu," tulisnya. Namun ia menilai tujuh bulan kemudian, bukti di lapangan belum cocok dengan narasi peluncuran yang menyebut dunia sudah masuk era Mythos.
Kenapa Temuan Menumpuk Sementara Perbaikan Jalan di Tempat?
Per 2 November 2026, catatan pengungkapan Anthropic memuat 37.966 temuan, tetapi hanya 7.349 yang dibuka ke publik (19,4 persen) dan baru 217 yang ditandai sudah diperbaiki. Sejak 8 September, Anthropic menambah 11.813 temuan tetapi hanya 15 perbaikan baru.
Garrity juga menyoroti temuan ganda. Sebanyak 1.654 temuan, atau 4,4 persen, sudah ditandai duplikat, sekitar 7,5 kali lipat jumlah perbaikan, dan 419 temuan lain ditarik kembali. Pada awal September jumlah duplikat baru dua. Ia memperingatkan bahwa semakin lama temuan mengendap, semakin besar peluang pihak lain menemukan dan memperbaikinya lebih dulu.
Anthropic menyebut tingkat true positive naik dari 90,8 persen saat catatan itu diluncurkan pada Mei, ketika memuat 23.019 temuan, menjadi 94,2 persen sekarang. Garrity mempertanyakan angka itu karena temuan yang ditarik atau ditandai duplikat jauh lebih banyak daripada yang diperbaiki, dan kemungkinan tidak masuk hitungan false positive.
Anthropic sendiri mengakui hambatannya. Pada 22 Mei perusahaan menulis bahwa kemajuan keamanan perangkat lunak dulu dibatasi kecepatan menemukan celah, dan kini dibatasi kecepatan memverifikasi, mengungkap, dan menambalnya. Melalui OSS Scanner yang dirilis 8 Oktober, Anthropic menyebut baru meninjau sekitar 6.000 dari lebih dari 29.000 kandidat kerentanan.
Apa Kata Pengelola Proyek soal Laporan yang Dikirim Anthropic?
Pengelola curl menerima 45 laporan dari Anthropic dan hanya satu yang dinilai berkeparahan menengah, sisanya rendah. Dari 34 laporan yang sudah dipublikasikan, 19 dinyatakan bukan kerentanan, 6 dikonfirmasi berkeparahan rendah, dan 9 masih menunggu penilaian, sehingga tingkat false positive sementara mencapai 55,9 persen.
Menurut VulnCheck, Daniel Stenberg, pengelola curl, memindahkan laporan ke GitHub secara bertahap "untuk meredam dampaknya bagi tim". Sejak Oktober, curl menangani kerentanan berkeparahan rendah dan menengah secara terbuka di pelacak isu GitHub, dengan tag vuln:ASSESS untuk laporan yang belum dinilai, seperti dijelaskan Stenberg dalam blognya pada 3 November 2026.
Selisih penilaian juga terlihat pada September. VulnCheck menemukan Claude menilai 91,5 persen temuan di catatan Anthropic sebagai kritis atau tinggi, sedangkan pengelola proyek hanya menilai 51,3 persen dengan kategori itu.
Tidak semua pengelola kecewa. Todd Ouska dari wolfSSL melaporkan, "dari 74 laporan yang kami terima, semuanya valid kecuali dua, dan lima di antaranya menjadi CVE." Noah Misch dari PostgreSQL menyebut beberapa laporan datang dengan perbaikan yang bisa dipakai nyaris apa adanya, dan curl memperbaiki celah HTTP/2 CVE-2026-92392 di versi 8.23.0 hasil temuan OSS Scanner.
Dampaknya bagi Perusahaan yang Memakai Software Open Source
Jumlah temuan bukan ukuran risiko yang sebenarnya. Dimitrios Thomas, dalam komentar pribadi yang dikutip InfoQ, mengusulkan penilaian berdasarkan akurasi validasi, beban kerja pengelola, dan waktu dari penemuan sampai perbaikan benar-benar terpasang, bukan sekadar banyaknya kerentanan yang dilaporkan.
Varun Badhwar, CEO dan salah satu pendiri vendor keamanan aplikasi Endor Labs, mengingatkan sisi lain. "Tambalan di hulu tidak banyak membantu kalau Anda masih tertinggal tiga versi mayor," tulisnya di LinkedIn. Perusahaan perlu tahu apakah kode yang rentan benar-benar terjangkau dan apakah perbaikan bisa dipasang tanpa merusak aplikasi.
Bagi perusahaan, BUMN, dan instansi pemerintah di Indonesia yang membangun sistem di atas komponen open source seperti curl, OpenSSL, atau PostgreSQL, pelajarannya praktis. Pantau CVE yang benar-benar dieksploitasi, bukan hanya jumlahnya, periksa apakah kode rentan terpakai di sistem sendiri, dan pastikan jalur pembaruan versi siap sebelum gelombang tambalan berikutnya datang.
(Burung Hantu Infratek / Berbagai Sumber)
Foto sampul: ilustrasi dibuat dengan AI, bukan foto produk atau kejadian asli.
⚠️ Berita ini seluruhnya diriset, ditulis, dan dikembangkan dengan bantuan AI internal Burung Hantu Infratek.
🦉 Burung Hantu Infratek adalah software house dan system integrator yang sudah berpengalaman lebih dari 5 tahun dalam pengembangan dan implementasi generative AI pada berbagai perusahaan dan institusi.
Berita Terkait Anthropic
🛡️ Anthropic Kabari Pelanggan Bisnis Setelah Firma Keamanan Luar Akses Data Akun
🚀 Anthropic Rilis Fable 5.2 dan Mythos 5.2 dengan Harga Turun 20 Persen
🔥 CISA Tandai Celah GPUStack Dieksploitasi dan Beri Agensi AS Tenggat Tiga Hari
🧠 Fireworks AI Akui Peretasan Kedua yang Menyentuh Data Tagihan dan Bobot Model
Sumber dan Referensi
[1] After 7-months, Glasswing Overwelms Maintainers with Underwhelming Findings - VulnCheck
[2] Project Glasswing: An initial update - Anthropic
[3] Anthropic Adds Opt-In Security Scanning for Critical Open-Source Projects - InfoQ