Claude Mythos Menemukan Celah Kriptografi dalam 60 Jam

Intinya: saya melihat kisah ini sebagai pelajaran tentang biaya, fokus, dan peninjauan manusia, bukan bukti bahwa AI mampu memecahkan kriptografi modern dengan sendirinya.

Dalam 60 jam dan dengan biaya $100,000, Claude Mythos membantu menemukan celah pembuatan nonce yang terkait dengan HAWK. Masalah ini dapat memungkinkan penyerang menggunakan tanda tangan publik untuk mencoba memulihkan kunci privat melalui serangan lattice. Pada saat yang sama, artikel tersebut menegaskan satu hal: AES dengan jumlah ronde yang dikurangi bukanlah AES penuh.

Jika harus merangkum artikel ini dalam beberapa baris, berikut intinya:

• Target: HAWK dan AES dengan jumlah ronde yang dikurangi
• Hasil: masalah bias nonce yang terkonfirmasi di HAWK
• Risiko: nonce lemah dalam jumlah memadai dapat mengubah tanda tangan publik menjadi jalan menuju pencurian kunci
• Biaya: $100,000 untuk satu upaya intensif selama sekitar satu akhir pekan
• Proses: AI menghasilkan petunjuk; manusia menyaring dan memeriksanya
• Pelajaran: mulai dengan biaya murah, verifikasi sejak awal, dan gunakan model kelas atas di tahap akhir alur kerja

Hal yang paling menonjol bagi saya adalah pemisahan antara pencarian dan pembuktian. Model tampaknya membantu menyaring kode dan gagasan serangan dengan cepat, dengan tingkat reproduksi eksploit pada percobaan pertama sebesar 83.1% sebagaimana disebutkan dalam artikel. Namun, pesan artikelnya jelas: manusia tetap harus memastikan mana yang benar-benar nyata.

Untuk developer dan tim keamanan, sarannya sederhana:

• gunakan model yang lebih kecil terlebih dahulu
• tetapkan batas anggaran yang tegas
• lakukan validasi sebelum meningkatkan pengeluaran
• perlakukan keluaran model sebagai petunjuk, bukan temuan akhir

Itulah bagian yang akan saya ingat. Kesimpulan utamanya bukan bahwa AI menemukan sesuatu yang baru. Alur kerja yang terfokus dan diperiksa manusia dapat mengubah pola serangan yang telah dikenal menjadi temuan yang teruji, asalkan Anda bersedia menginvestasikan waktu dan biaya.

Cara AI Menemukan Kerentanan dalam Pustaka Kriptografi

2. Cara Claude Mythos Menggunakan Waktu dan Biaya

Linimasa Investigasi 60 Jam

Sprint selama 60 jam itu bergerak dalam urutan yang jelas: perumusan serangan, analisis dengan panduan model, penyempurnaan, dan verifikasi terhadap HAWK serta AES dengan jumlah ronde yang dikurangi. Pada awalnya, tim memilih sasaran serangan tertentu dan mendefinisikan apa yang dianggap sebagai temuan terkonfirmasi. Kemudian Claude Mythos beralih ke pencarian varian berulang, mencocokkan pola kerentanan yang telah dikenal dengan kemungkinan celah dalam kode kriptografi tanpa memakai alat SAST standar ^[4].

Bagian tengah proses berfokus pada pengujian kandidat kelemahan dan pengurangan positif palsu. Peninjau manusia menangani tahap penyaringan tersebut. Claude Mythos mereproduksi eksploit pada percobaan pertama dalam 83.1% kasus, sehingga jalan buntu dan upaya yang terbuang berkurang ^[1].

Pada tahap terakhir, tim memeriksa kandidat terkuat terhadap kode sumber dan asumsi kriptografi di balik setiap target. Pemeriksaan tersebut menjadi dasar skenario serangan yang dijelaskan berikutnya.

Penggunaan Dana $100,000

Biaya $100,000 mencakup pengoperasian model berulang, orkestrasi alur kerja, dan peninjauan manusia. Sederhananya, dana tersebut tidak dihabiskan untuk satu percobaan besar. Dana dipakai untuk menjalankan siklus berkali-kali hingga petunjuk lemah tersingkir dan petunjuk kuat bertahan dalam pengujian.

Model open-weight yang lebih kecil juga dapat membantu pada sisi verifikasi. Dalam beberapa kasus, model tersebut mampu memulihkan rangkaian eksploit yang kompleks hanya dengan $0.11 per satu juta token ^[3].

Peran APIMart dalam Alur Kerja Keamanan Multi-Model

APIMart dapat merutekan pembuatan hipotesis, analisis, dan verifikasi melalui satu endpoint yang kompatibel dengan OpenAI. Hal ini memudahkan perpindahan dari penemuan kandidat ke verifikasi tanpa harus menyatukan proses serah-terima yang rumit antaralat.

3. Celah dalam Praktik: Hal yang Dapat Dilakukan Penyerang

Skenario Serangan yang Dimungkinkan oleh Penemuan Ini

Petunjuk terkuat adalah celah pembuatan nonce yang mengubah tanda tangan publik menjadi jalan untuk memulihkan kunci privat. Claude Mythos menemukan pembuatan nonce yang bias dalam implementasi target. Jika nonce tidak seragam, penyerang dapat mengumpulkan tanda tangan dari waktu ke waktu dan menjalankan serangan Hidden Number Problem (HNP) berbasis lattice untuk memulihkan kunci privat ^[5].

Target termudah adalah sistem yang mengekspos banyak tanda tangan ke publik. Tingkat nonce di luar rentang sekitar 6% dapat cukup untuk mendeteksi pembuatan nonce yang lemah dan membenarkan upaya pemulihan kunci dengan tanda tangan publik ^[5]. Setelah mendapatkan kunci privat, penyerang dapat memalsukan tanda tangan dan menyamar sebagai pemilik kunci ^[5]. Inilah yang membuatnya praktis. Tanda tangan publik itu sendiri menjadi bahan mentah serangan.

Dampak Terukur Dibandingkan Tolok Ukur Serangan Sebelumnya

Perubahan utama di sini bersifat operasional. Model tersebut mengubah kelas serangan yang telah dikenal menjadi jalur yang berfungsi lebih cepat daripada triase manual saja. Kecepatan itu penting karena Claude Mythos mereproduksi eksploit pada percobaan pertama dalam 83.1% kasus ^[1].

4. Maknanya bagi Developer, Tim Keamanan, dan Operasi AI

Area Kriptografi yang Paling Terbantu oleh AI

AI tidak menciptakan kelas serangan baru di sini. Perannya adalah mempercepat pekerjaan berat: menemukan kandidat yang mungkin, memeriksa hipotesis, dan menerapkan pola serangan yang telah dikenal di seluruh codebase dengan tuntutan keamanan tinggi.

Perbedaan ini penting dalam praktik. AI dapat mempersempit ruang pencarian, tetapi tidak dapat memutuskan apa yang benar-benar merupakan masalah. Manusia tetap harus membaca kode, menguji klaim, dan memeriksanya terhadap desain kriptografi.

Pada Juli 2026, agen audit AI zkao dari zkSecurity mengonfirmasi tujuh bug nyata dalam pustaka kriptografi eksperimental CIRCL milik Cloudflare, termasuk kehilangan presisi float64 yang kritis dalam threshold RSA serta kerusakan kontrol akses dalam enkripsi berbasis atribut. Semuanya kemudian diperbaiki di upstream ^[2]. Pembagian tugasnya sederhana: AI membantu tim menemukan lebih banyak hal untuk diperiksa, sedangkan peninjau manusia menentukan mana yang benar-benar valid.

Merencanakan Audit Serupa Tanpa Memboroskan Anggaran

Alur audit yang baik cukup sederhana:

• Mulai dengan model yang lebih murah untuk menemukan jalur kode yang tepat dan menandai kandidat yang jelas
• Periksa temuan tersebut terhadap kode sumber dan asumsi kriptografinya
• Beralih ke model unggulan hanya setelah kandidat lolos dari peninjauan tersebut
• Tetapkan batas anggaran sebelum pekerjaan dimulai
• Tambahkan titik validasi awal agar tim dapat melanjutkan, beralih arah, atau berhenti sebelum menghabiskan dana untuk jalan buntu

Urutan ini penting. Model open-weight dengan 3.6 miliar parameter dapat mendeteksi eksploit kompleks hanya dengan $0.11 per satu juta token ^[3]. Jadi, komputasi yang mahal seharusnya ditempatkan di akhir pipeline, bukan di awal.

Inilah yang membuat AI berguna dalam audit kriptografi. Manfaatnya bukan sekadar kecepatan. Pelajaran utama dari sprint Mythos adalah pertukaran antara kecepatan, verifikasi, dan biaya: $100,000 serta 60 jam menghasilkan temuan terkonfirmasi dan terverifikasi manusia karena prosesnya sesuai dengan tingkat ketelitian yang dibutuhkan target.

5. Kesimpulan: Biaya dan Nilai Keamanan Kriptoanalisis Berbantuan AI

Mythos mengonfirmasi celah pembuatan nonce di HAWK dengan menggunakan subagen LLM untuk memindai file secara paralel dan memeriksa kode sumber secara langsung. Verifikasi manusialah yang membuat hasil tersebut dapat dipercaya. Pekerjaan AI mengurangi waktu pencarian dan memunculkan kandidat masalah yang kemudian dapat dikonfirmasi serta diukur oleh peninjau ^[4]. Ini menggeser fokus. Pertanyaan utamanya bukan soal kebaruan, melainkan biaya.

Masalah berikutnya adalah efisiensi: berapa biaya sebenarnya dari pencarian tersebut? Pada skala ini, tekanan anggaran sulit diabaikan, dan jawabannya sangat bergantung pada cakupan. Pendekatan yang masuk akal adalah memakai model open-weight yang lebih kecil untuk tahap pertama, lalu menyimpan model unggulan bagi bagian yang membutuhkan penalaran lebih mendalam ^[3].

Bagi tim, kesimpulannya bersifat praktis, bukan abstrak. Pertahankan cakupan yang sempit, lakukan validasi sejak awal, dan perlakukan keluaran AI sebagai petunjuk, bukan jawaban akhir. Daniel Stenberg dari Curl menyatakannya dengan lugas:

AI mendukung peninjauan manusia, bukan menggantikannya

Poin ini terlihat jelas dalam salah satu audit Curl. Mythos menandai lima masalah, tetapi peninjauan manual mempersempit daftar itu menjadi satu CVE dengan tingkat keparahan rendah dan satu bug ^[4].

Pertanyaan Umum

Apakah celah ini dapat mengekspos kunci privat dalam sistem nyata?

Ya. Jika seseorang mengeksploitasi celah yang memberikan akses tingkat kernel, orang tersebut dapat mengambil alih seluruh sistem. Hal ini dapat mengekspos data sensitif, termasuk kunci privat yang tersimpan di mesin tersebut.

Riset menunjukkan bahwa analisis berbantuan AI dapat menemukan dan merangkai kerentanan kompleks. Sederhananya, penyerang mungkin lebih mudah menghubungkan celah-celah kecil menjadi pembobolan yang jauh lebih besar, sehingga meningkatkan risiko serangan dalam skala luas.

Mengapa biaya audit mencapai sekitar $100,000?

Biaya sekitar $100,000 berasal dari penggunaan intensif komputasi khusus, perangkat canggih, dan infrastruktur pengujian yang dibutuhkan untuk menjalankan analisis keamanan mendalam selama 60 jam.

Biaya itu juga mencakup pekerjaan teknis untuk mengidentifikasi, memverifikasi, dan mendokumentasikan celah kritis dalam sistem kriptografi yang kompleks dan berisiko tinggi.

Apa yang diverifikasi manusia dan tidak dapat dilakukan AI?

Manusia memeriksa temuan AI dengan membaca sendiri kode sumber dan meninjau setiap kasus secara manual untuk menangkap kesalahan.

Mereka menemukan bahwa banyak masalah yang telah “dikonfirmasi” AI sebenarnya adalah positif palsu atau bug biasa, bukan celah keamanan. Peninjauan tambahan ini membantu memastikan temuan berkeparahan tinggi benar-benar akurat sebelum dianggap valid.