Keamanan · 17 Oktober 2026
Chainguard Luncurkan Alat Keamanan Berbasis Kecerdasan Buatan untuk Menemukan Kerentanan yang Tersembunyi
Chainguard telah meluncurkan sebuah alat keamanan yang ditenagai oleh kecerdasan buatan untuk menemukan dan memperbaiki kerentanan yang dapat dieksploitasi dalam kode aplikasi. Alat ini dirancang untuk mengidentifikasi celah keamanan yang sering kali terlewatkan oleh pemindai konvensional, sehingga membantu organisasi melindungi infrastruktur mereka dari ancaman yang lebih kompleks.
Alat yang disebut Harness ini menggunakan model kecerdasan buatan tingkat lanjut, termasuk model Claude Mythos 5.1 yang aksesnya dibatasi oleh Anthropic. Chainguard awalnya membangun alat ini untuk penggunaan internal mereka sendiri sebagai bagian dari proyek bernama Project Glasswing. Perusahaan tersebut berencana untuk membuka akses alat ini ke model-model kecerdasan buatan tingkat lanjut lainnya di masa depan, alih-alih mengikatnya secara permanen pada satu model tertentu. Pengumuman peluncuran ini dilakukan pada hari Rabu dan merupakan bagian dari rilis empat produk baru lainnya, termasuk Workspaces, Checks, dan perluasan perlindungan Libraries.
Salah satu temuan pertama yang diumumkan secara publik oleh alat ini adalah celah keamanan pada vLLM, sebuah mesin inferensi sumber terbuka yang banyak digunakan untuk menyajikan model bahasa besar. Pada versi sebelum v0.31.0, satu klien dapat memaksa keluaran yang dikembalikan ke klien lain yang berbagi mesin yang sama. Respons yang telah dimanipulasi ini muncul sebagai penyelesaian yang normal dan sukses tanpa ada catatan apa pun di log, yang merupakan mode kegagalan yang sangat diam bagi sistem inferensi multi-tenant. Celah ini telah diperbaiki pada versi v0.31.0 dan dilacak di bawah nasihat keamanan yang relevan. Chainguard menyatakan bahwa beberapa temuan lainnya, termasuk beberapa di perangkat lunak infrastruktur kritis, sedang dikoordinasikan untuk pengungkapan setelah perbaikan diterapkan oleh pemelihara hulu.
Untuk memastikan keandalan temuan, alat ini membuktikan bahwa kerentanan tersebut dapat dieksploitasi sebelum dihitung sebagai temuan valid. Hal ini dilakukan dengan mereproduksi potensi eksploitasi di lingkungan yang segar dan terisolasi. Jika eksploitasi tidak dapat direproduksi secara konsisten, temuan tersebut akan dikecualikan dari laporan. Perbaikan yang diusulkan juga harus melalui proses pembuktian konsep yang sama, di mana eksploitasi harus berhasil terhadap kode asli dan gagal terhadap versi yang telah diperbaiki. Seorang insinyur dari Chainguard kemudian menyetujui setiap perbaikan dan laporan sebelum dikirimkan ke pelanggan, sehingga memastikan adanya pengawasan manusia dalam proses akhir.
Peluncuran alat ini juga disertai dengan hasil survei yang dipesan oleh Chainguard dari Wakefield Research terhadap 1.300 pemimpin keamanan di sembilan pasar. Survei tersebut menunjukkan bahwa lebih dari separuh organisasi secara sadar meninggalkan kerentanan tingkat tinggi atau kritis tanpa diperbaiki setidaknya sesekali. Angka ini mencapai 66 persen di perusahaan dengan pendapatan satu miliar dolar atau lebih, dibandingkan dengan 27 persen di perusahaan dengan pendapatan di bawah 250 juta dolar. Seorang pejabat keamanan di Chainguard menyatakan bahwa kecerdasan buatan dapat menemukan dan merangkai celah dalam hitungan menit, sementara perbaikan masih bergerak pada kecepatan manusia dan bersaing dengan tenggat waktu produk serta ketersediaan sistem.
Setiap pengembang dan agen pemrograman mendapatkan mesin virtual mikro yang terisolasi secara perangkat keras dengan kebijakan jaringan yang membatasi akses ke sistem internal. Kredensial disimpan di luar lingkungan agen untuk membatasi apa yang dapat dijangkau oleh agen yang dikompromikan atau dependensi yang berbahaya. Log aktivitas yang ditandatangani mencatat apa yang dilakukan oleh setiap agen sehingga tim dapat mempertahankan jejak audit di berbagai sesi otonom. Alat Checks memungkinkan agen pemrograman menjalankan pemeriksaan integrasi berkelanjutan secara langsung selama pengembangan dan menerima hasil yang ditandatangani dalam hitungan detik.