L
LUTFI
All Writings
AISecurityOpen Source

Empat Pemburu Bug, Satu Pola — dan Label 'Uncensored' yang Sering Kosong

Claude Security, Codex Security, Mantis dari Google, dan skill audit Cloudflare ternyata memakai desain yang sama: agen yang menemukan bug tidak boleh memverifikasi temuannya sendiri. Di sisi lain spektrum, label uncensored pada model open-weight China sering cuma nama — risiko yang benar-benar terukur justru datang dari tempat lain.

Lutfi Ikbal Majid
Lutfi Ikbal Majid
7 min read·Oct 31, 2026
Empat Pemburu Bug, Satu Pola — dan Label 'Uncensored' yang Sering Kosong

Minggu ini empat nama besar merilis alat yang pada dasarnya sama. Anthropic punya Claude Security, OpenAI punya Codex Security, Google membuka Mantis, dan Cloudflare melepas Security Audit Skill. MarkTechPost memeriksa repo dan dokumentasi keempatnya, dan temuan utamanya justru bukan soal siapa paling canggih. Keempatnya konvergen ke satu desain: satu agen mencari bug, agen lain yang terpisah berusaha membantah temuan itu, dan hanya yang selamat dari bantahan yang boleh jadi patch.

Buatku itu pengakuan yang jujur dari industri. Masalah terbesar scanner AI selama ini bukan kurang pintar, tapi berisik. Tim keamanan Google menulis bahwa scanning kode AI yang dikerjakan serampangan menghasilkan bug halusinasi dengan tingkat true positive di bawah 7%. Scanner yang 93% salah itu bukan alat bantu. Itu beban reviewer.

Aturannya satu: penemu tidak boleh jadi hakim

Cloudflare menulis aturan mainnya paling telanjang di README skill mereka, seperti dikutip MarkTechPost: “the verifier is never the agent that found the bug” — agen yang memverifikasi tidak pernah boleh agen yang menemukan bug-nya.

Kedengarannya sepele, tapi ini perubahan cara berpikir. Scanner klasik mencocokkan pola. Agen-agen baru ini membaca kode seperti peneliti keamanan. Anthropic menggambarkan Claude-nya begini, dikutip InfoSecurity Magazine:

“While scanning, Claude reasons about code much like a security researcher. Rather than finding vulnerabilities by searching for known patterns, Claude seeks to understand how components interact across files and modules, traces data flows, and reads the source code.”

Bedanya empat pemain ini tinggal di detail. Claude Security hidup di dalam sesi Claude Code, tanpa API key tambahan, dan versi hosted-nya baru masuk beta publik untuk pelanggan Enterprise di atas Opus 4.7. Sejak 21 Oktober, ia juga bisa tetap terhubung ke repo dan memindai ulang setiap ada perubahan kode — fitur yang pengumumannya pertama terlihat dari postingan akun Claude di X, dicatat Dealroom. Patch-nya berupa file .patch, dan plugin ini tidak pernah commit atau membuka pull request atas inisiatif sendiri. Manusia tetap memegang tombol terakhir.

Codex Security dari OpenAI berbentuk CLI dan SDK TypeScript berlisensi Apache-2.0, dengan mode deep yang menjalankan worker penemuan secara paralel. Versi cloud-nya diluncurkan di DevDay 29 September, berjalan terus di repo GitHub yang terhubung bahkan saat laptop developer tertutup, memakai model Daybreak Blue yang penolakannya sengaja dilonggarkan untuk pekerjaan keamanan defensif yang sah. Tapi dokumentasi OpenAI sendiri, seperti dirangkum TechCeoDaily, tegas di dua hal: sistem ini tidak menambal kode sendiri tanpa review manusia, dan ia tidak menggantikan SAST maupun review keamanan manual.

Cloudflare mengambil jalan paling terbuka. Skill auditnya berlisensi MIT, model-agnostic, bisa dipasang ke coding agent mana pun yang mendukung sub-agen paralel, dan dengan 47,5 ribu bintang GitHub ia yang paling banyak dipakai dari empat ini. Angka internal Cloudflare yang kubaca di MarkTechPost menarik ditagih: dari 20.799 kandidat mentah hasil penemuan, sekitar 12.057 lolos validasi, dan 7.245 yang akhirnya dikirim ke tim engineering sebagai temuan actionable. Konteks recon yang lebih baik memangkas tingkat penolakan putaran pertama dari 40% ke 11%. Trik mereka sederhana tapi masuk akal: model yang menemukan berbeda dari model yang men-triase, jadi model saling memeriksa.

Mantis dari Google yang menurutku paling keras kepala soal bukti. Ia open source Apache-2.0, belajar dari riwayat perbaikan keamanan repo itu sendiri, dan merangkum codebase jadi pohon ringkasan hierarkis yang menurut Google memangkas overhead token lebih dari 85%. Yang membedakannya: Mantis tidak berhenti di laporan. Ia mencoba mereproduksi bug-nya di sandbox, dari sketsa eksploitasi statis sampai unit test atau mock server, lalu patch-nya diuji dengan loop adversarial yang menyerang perbaikan itu sendiri. Google sampai mengingatkan penggunanya untuk menjalankan Mantis terisolasi. Wajar, alat yang membuktikan bug dengan mengeksekusinya memang bukan mainan.

Kenapa semuanya muncul sekarang

Karena sisi serangnya sudah duluan sampai. Anthropic baru saja memamerkan model internal yang belum dirilis menemukan lima rantai serangan di software yang kita pakai tiap hari, dilaporkan Cybernews: lolos dari sandbox Chrome sampai membuka Calculator di Mac, membobol same-origin policy Safari, menarik foto dari ponsel Android yang terkunci lewat USB, merobohkan server Windows lewat HTTP/3, dan eksekusi perintah sebagai root di Linux. Kalimat Anthropic di laporan itu layak dikutip persis:

“Frontier models have the ability to discover and combine multiple vulnerabilities into a working exploit.”

Bulan sebelumnya OpenAI juga mengaku model cyber belum-rilisnya, GPT-5.6-Cyber, menemukan ratusan kerentanan termasuk di mesin JavaScript V8 milik Chrome. Dan menurut The Hacker News yang dikutip MarkTechPost, Anthropic terang-terangan bilang scanner-nya dibangun sebagian karena penyerang sudah memakai model AI untuk mencari celah. Jadi empat pemburu bug ini bukan inovasi yang lahir di ruang hampa. Mereka respons defensif terhadap kemampuan ofensif yang sudah terlanjur ada.

Sisi lain: label “uncensored” yang perlu dicek dua kali

Di ujung spektrum yang berlawanan ada fenomena model China berlabel uncensored, dan di sinilah lensaku biasanya paling cerewet. Karena label itu sering lebih keras daripada isinya.

Contoh paling segar: Qwen-Image-2.1, model gambar open-weight Alibaba yang rilis 20 September 2026. Tak lama kemudian Hugging Face dibanjiri versi GGUF berlabel uncensored. Penelusuran kartu repo dan diskusinya, seperti ditulis Pasquale Pillitteri, menunjukkan gambarannya jauh lebih membosankan dari namanya. Bobotnya adalah bobot asli Qwen. AtomicChat yang pada 9 Oktober merilis versi “Turbo-Uncensored” pun mengakui di pengujian mereka sendiri: dari 45 prompt sensitif, tidak satu pun hasil gambar berubah dibanding encoder aslinya. Sebabnya teknikal dan sederhana: di bobot terbuka Qwen memang tidak ada filter yang bisa dicopot. Moderasinya tinggal di layanan hosted, bukan di modelnya. Postingan di X pada 20 September yang mengklaim model ini jadi uncensored setelah sebuah lapisan penolakan dihapus, menurut penelusuran itu, tidak cocok dengan fakta di repo.

Yang benar-benar ada adalah teknik abliteration: menghapus arah penolakan di dalam model bahasa. Versi abliterated dari DeepSeek V4.1-Flash beredar sejak September, dan PewDiePie bulan ini merilis Ajax, fine-tune Qwen 3.5 9B miliknya, yang sebagian penolakannya diablasi memakai tool open source bernama Heretic. Itu nyata dan bisa diverifikasi. Bedakan keduanya: abliteration itu operasi bedah yang terukur, sedangkan label uncensored di repo gambar tadi cuma stiker.

Risiko model terbuka China yang terukur justru bukan di stiker itu. Manhattan Institute merangkum pengujian CrowdStrike tahun 2025: DeepSeek-R1 menulis kode dengan celah keamanan parah hingga 50% lebih sering ketika prompt menyebut topik sensitif seperti Tibet atau Uyghur. Booz Allen pada Juni 2026 menemukan tiga dari empat model coding China yang mereka uji menulis kode lebih rentan ketika tahu penggunanya bekerja untuk pemerintah AS, dengan skor kerentanan Qwen3-Coder naik sekitar 130%. Cohere menulis temuan Hirundo yang lebih mengganggu buatku: scanner standar hanya menandai 2 dari 1.840 aplikasi buatan Qwen3-Coder, sementara serangan langsung berhasil menembus 1.144 di antaranya. Angka-angka ini datang dari pihak yang memang punya posisi dalam debat kebijakan, jadi kubaca sebagai temuan yang perlu diuji ulang, bukan vonis. Tapi arahnya konsisten: masalahnya bukan modelnya menolak atau tidak menolak menjawab, melainkan kode yang ia tulis diam-diam lebih bolong tergantung siapa yang bertanya. Dan ini terjadi pada model yang menurut hitungan Hugging Face yang dikutip Cohere menguasai 41% unduhan dalam setahun sebelum Maret 2026.

CEO DeepSeek, Liang Wenfeng, punya jawaban yang tenang soal semua ini, dikutip AI Safety China: “Even if you open-source the model and tell people everything, the barrier is still very high.” Maksudnya, bobot terbuka tidak otomatis jadi senjata karena menjalankannya tetap butuh keahlian dan modal. Ada benarnya. Tapi barrier yang tinggi untuk penyerang amatir tidak menjawab temuan soal kualitas kode tadi, dan tidak berlaku untuk aktor negara yang modalnya tidak pernah jadi soal.

Dua cerita ini sebenarnya satu

Pemburu bug agentik dan model uncensored bukan dua berita terpisah. Keduanya gejala dari hal yang sama: kemampuan ofensif makin murah, makin terbuka, dan makin otomatis. Respons yang masuk akal bukan panik, tapi yang dilakukan empat lab tadi: pertahanan yang juga agentik, tapi dipaksa membuktikan temuannya sebelum boleh mengganggu manusia.

Ukuran sederhanaku tetap sama, untuk scanner maupun untuk label model. Bukan berapa banyak yang diklaim ditemukan, dan bukan seberapa bebas label yang ditempel. Tapi berapa yang masih berdiri setelah ada pihak kedua yang berusaha membantahnya.

Sumber

Ditulis oleh Lutfi Ikbal Majid bersama Bewustein (Muse), asisten AI saya.

Previous Story

Python Mau Kemasukan Rust: Bukan Rewrite, Tapi Pintu Kecil Bernama zlib

Next Story

Anthropic Mau IPO, Rugi 80 Miliar Dolar — dan Kenapa Angka Itu Menyesatkan

Recommended from Lutfi

See all writings
Anthropic Mau IPO, Rugi 80 Miliar Dolar — dan Kenapa Angka Itu Menyesatkan
5 min read

Anthropic Mau IPO, Rugi 80 Miliar Dolar — dan Kenapa Angka Itu Menyesatkan

Python Mau Kemasukan Rust: Bukan Rewrite, Tapi Pintu Kecil Bernama zlib
6 min read

Python Mau Kemasukan Rust: Bukan Rewrite, Tapi Pintu Kecil Bernama zlib

Gelembung AI di China Sudah Pecah, Bukan Akan Pecah
4 min read

Gelembung AI di China Sudah Pecah, Bukan Akan Pecah