500 Zero-Day Claude Opus 4.6: Apa yang Ditunjukkan Tiga Patch

Pada 5 Februari 2026, Frontier Red Team milik Anthropic menerbitkan riset yang melaporkan bahwa Claude Opus 4.6, yang dirilis pada hari yang sama, telah menemukan dan memvalidasi lebih dari 500 kerentanan berseveritas tinggi dalam perangkat lunak sumber terbuka — tanpa perkakas khusus tugas, scaffolding kustom, atau prompting khusus. Tiga temuan dijelaskan secara rinci: pemeriksaan batas tumpukan yang hilang di Ghostscript, rangkaian panggilan strcat yang tidak diperiksa di OpenSC, dan buffer overflow di encoder GIF CGIF yang bergantung pada perilaku kompresi LZW saat kamusnya penuh. Anthropic mengatakan ketiganya kini telah ditambal oleh pengelola masing-masing, dan menurut catatannya bug tersebut ditemukan, divalidasi, dan dilaporkan. Banyak proyek dikelola oleh tim kecil atau sukarelawan tanpa staf keamanan khusus, catat postingan tersebut, sehingga beban pelaporan dan penambalan jatuh pada mereka. Entri arsip itu sendiri untuk temuan tersebut, yang dinilai dengan tingkat keparahan info dan tanpa kerugian nyata tercatat, berada di Orca AI Incident Archive bersama catatan kebijakan dan pengungkapan Februari 2026 lainnya.

Apa yang sebenarnya diterbitkan Anthropic

Artikel tersebut berjudul "Mengevaluasi dan memitigasi risiko yang terus meningkat dari 0-day yang ditemukan LLM" dan diatribusikan kepada Frontier Red Team: Nicholas Carlini, Keane Lucas, dan Evyatar Ben Asher sebagai kontributor setara, bersama Newton Cheng, Hasnain Lakhani, David Forsythe, dan Kyla Guru. Halaman ini mencantumkan tanggal terbit 5 Februari 2026 dan catatan suntingan bertanggal 6 Februari 2026 yang mencatat bahwa daftar penulis telah diperbarui. Arsip mengutip artikel tersebut di red.anthropic.com, yang kini dialihkan ke anthropic.com/research/zero-days.

Metodenya lebih penting daripada angka utamanya. Anthropic mengatakan bahwa mereka menempatkan model itu di dalam mesin virtual dengan akses ke versi terbaru proyek-proyek sumber terbuka, dan memberinya utilitas standar serta alat yang biasa digunakan seorang peneliti keamanan manusia — debugger dan fuzzer — tetapi tanpa instruksi tentang cara menggunakannya dan, dalam kata-kata tulisan itu, "tanpa harness khusus yang akan memberinya pengetahuan khusus tentang cara menemukan kerentanan dengan lebih baik." Yang diuji adalah perilaku bawaan model.

Tim mempersempit pencarian ke bug korupsi memori, dengan alasan bahwa crash lebih mudah dikonfirmasi daripada kesalahan logika. Anthropic menegaskan bahwa ini adalah filter, bukan jaminan: "tidak semua input yang menyebabkan program crash merupakan kerentanan berseveritas tinggi." Jadi crash tersebut dikembalikan ke model untuk dikritik, dideduplikasi, dan diprioritaskan ulang, lalu diserahkan kepada manusia. "Untuk putaran temuan awal kami, peneliti keamanan kami sendiri memvalidasi setiap kerentanan dan menulis patch secara manual. Seiring bertambahnya volume temuan, kami mendatangkan peneliti keamanan eksternal (manusia) untuk membantu validasi dan pengembangan patch." Otomasi patch, menurut postingan tersebut, masih dalam proses pembangunan.

Tiga bug, dan patch yang menyusul

Ketiga contoh yang dikerjakan memiliki pola yang sama: sebuah alat otomatis sudah gagal, dan model menemukan bug dengan bernalar tentang sesuatu selain mutasi input.

• Ghostscript, interpreter PostScript dan PDF. Fuzzing lalu analisis manual tidak menemukan apa pun. Model itu kemudian membaca riwayat Git proyek, menemukan sebuah commit yang dalam postingan dijelaskan sebagai penambahan "pemeriksaan batas stack untuk nilai blend MM" ke charstring Type 1, menyimpulkan bahwa kode sebelum commit itu rentan, dan mulai mencari lokasi pemanggilan lain yang belum mendapat perlakuan sama. Ia menemukan satu di gdevpsfx.c — postingan menyebut baris 292 — dan membuat file yang membuat program crash. Repositori mendukung hal ini: commit 87486fb801 oleh Chris Liddell, bertanggal 5 September 2025, berjudul "Type 1 charstrings: menambahkan pemeriksaan batas stack untuk nilai blend MM." Perbaikan kemudian oleh Ken Sharp, commit 4e392a82 bertanggal 26 Januari 2026, menambahkan pemeriksaan batas tepat sebelum pemanggilan itu di konverter font, diajukan terhadap Bug 709080, yang laporannya berjudul “Ghostscript Perbaikan tidak lengkap untuk pemeriksaan batas stack blend MM Type 1”. Sebuah commit pada 13 Februari 2026 memperluas pemeriksaan batas di konverter yang sama. Tidak ada pesan commit yang menyebutkan siapa yang melaporkan bug tersebut.

• OpenSC, utilitas baris perintah untuk data kartu pintar. Di sini model tersebut mencari panggilan fungsi berisiko dan menemukan operasi strcat berturut-turut yang menulis ke buffer filename berukuran 4096 byte, setelah perhitungan ukuran yang mengurangi panjang string input tetapi kemudian menambahkan string-string lain tanpa memeriksa ulang. Postingan itu mencatat bahwa fuzzer yang ada jarang mencapai jalur tersebut karena prasyarat yang terlibat. Commit OpenSC 33ab343a5c pada 19 Januari 2026 menambahkan pemeriksaan bahwa string yang ditambahkan tepat 64 byte, dan pull request #3554, yang digabungkan pada 25 Januari 2026, mengganti panggilan strcat yang tersisa di seluruh proyek dengan strlcat; penulisnya menyebut fungsi itu "magnet bagi semua alat analisis statis dan CVE."

• CGIF, sebuah encoder GIF. Pustaka tersebut mengasumsikan data terkompresi akan selalu lebih kecil daripada input yang tidak terkompresi, yang hampir selalu benar. Model itu bernalar bahwa LZW membangun kamus berukuran tetap, dan bahwa ketika kamus penuh, kode clear yang disisipkan ke dalam aliran dapat membuat output "terkompresi" lebih panjang daripada input — sehingga buffer yang berukuran untuk N+2 kode dapat menerima lebih dari N+1. Tulisan itu mengatakan bahwa bahkan cakupan baris dan cabang 100 persen pun mungkin tidak mengungkap hal ini, karena ini memerlukan urutan operasi tertentu. Pull request #84 dari CGIF, yang digabungkan pada 19 Januari 2026 dan dirilis pada hari yang sama sebagai v0.5.1, memperbaiki tepat hal itu: "Kode clear reset tidak disertakan dalam perhitungan batas atas ukuran data LZW."

Perbaikan-perbaikan itu sudah diterapkan sebelum riset dipublikasikan — CGIF dan OpenSC pada 19 Januari 2026, OpenSC lagi pada 25 Januari, Ghostscript pada 26 Januari — dan Anthropic mengatakan dalam tulisan tersebut bahwa pihaknya telah "mulai melaporkannya dan melihat patch awal kami mulai diterapkan" sebelum membuatnya publik. Repositori mencatat perubahan kode; repositori tidak mencatat siapa yang mengajukan laporan, sehingga kaitan antara temuan model dan komit tertentu ini bergantung pada keterangan Anthropic dan pada seberapa cocok cacat yang dijelaskan dengan diff tersebut.

The researcher who said the OpenSC bug was not real

Public scrutiny of the individual findings did not start and end with Anthropic. On 14 February 2026 K. Reid Wightman, an industrial security researcher posting as @reverseics on infosec.exchange, published a review of the OpenSC example arguing the bug could not be triggered: the input string was already checked to be 64 bytes at line 5138, he wrote, which capped the buffer at 4095 bytes including the terminator. "I spent about an hour looking at the code to debunk their finding," he wrote.

He edited the same post on 17 February 2026 to withdraw the challenge. "Looks like the version of code I was looking at, already had a fix for anthropic-discovered bug(s)," the edit reads, before conceding the arithmetic: "but yes without the strlen() check on 'fp' the overflow could actually be triggered. The humble pie has been eaten." The check he had relied on was the one added to OpenSC on 19 January 2026 — before Anthropic published, and before most readers would have gone looking. The archive does not flag the record as disputed, and here the challenge was retracted by the person who raised it.

OpenSC's own maintainers answered the same question in their tracker. In discussion #3575, opened on 17 February 2026 by a user asking whether Anthropic's claims were legitimate, OpenSC maintainer frankmorgner replied the same day: "We received two bug reports from anthropic, which were both verified by humans." He said the fixes were in pull request #3554 and would be in the next release, and that commit 33ab343 was "a change that was introduced after anthropic reported the problem."

Bagian tata kelola: probe, pemblokiran, dan 90 hari

Yang menjadikan ini catatan kebijakan alih-alih catatan riset biasa adalah paruh kedua tulisan tersebut. Seiring dengan peluncuran model, Anthropic mengatakan pihaknya memperkenalkan probe khusus siber yang mengukur aktivasi di dalam model saat model tersebut menghasilkan respons, dan bahwa pihaknya memperbarui alur kerja penegakannya untuk menggunakan deteksi berbasis probe. Ini melangkah lebih jauh daripada deteksi: "kami dapat menerapkan intervensi waktu nyata, termasuk memblokir lalu lintas yang kami deteksi sebagai berbahaya." Anthropic mengakui biayanya — "Ini akan menimbulkan gesekan bagi riset yang sah dan sebagian pekerjaan defensif" — dan mengatakan ingin bekerja sama dengan komunitas riset keamanan dalam hal ini. Tidak ada tingkat deteksi, tingkat kesalahan, atau proses banding yang dipublikasikan.

Tulisan itu juga berpendapat bahwa kalender pengungkapan itu sendiri kini menjadi masalah. "Jendela 90 hari yang menjadi standar industri mungkin tidak mampu bertahan terhadap kecepatan dan volume bug yang ditemukan LLM," katanya, dan memperingatkan bahwa model "mungkin segera melampaui kecepatan dan skala bahkan peneliti manusia ahli." Itu adalah vendor yang berargumen bahwa norma yang akan menjadi tolok ukur baginya perlu diganti, dan itulah bagian dari catatan yang jangkauannya paling luas.

Apa yang berubah setelahnya

Pada 20 Februari 2026, Anthropic membuka Claude Code Security sebagai pratinjau riset terbatas bagi pelanggan Enterprise dan Team, dengan akses dipercepat gratis untuk pengelola sumber terbuka — kemampuan tersebut diprodukkan lima belas hari setelah riset. VentureBeat melaporkan peluncuran itu dan menyatakan telah meminta Anthropic tingkat positif palsu sebelum dan sesudah verifikasi mandiri, jumlah kerentanan yang diungkapkan dengan patch yang sudah diterapkan versus yang masih dalam triase, serta pengamanan yang membedakan penggunaan oleh penyerang dari penggunaan oleh pembela; VentureBeat melaporkan bahwa peneliti utama proyek tersebut tidak tersedia dan bahwa perusahaan menolak membagikan mekanisme deteksi penyerang yang spesifik.

Patch juga terus bergerak, dan tidak selalu ke satu arah. Perbaikan CGIF untuk alokasi yang dijelaskan Anthropic dirilis dalam v0.5.1 pada 19 Januari 2026; pada 21 Februari 2026 pull request #103 memperbaiki overflow bilangan bulat 32-bit yang diperkenalkan oleh perhitungan alokasi yang sama, lalu dirilis sebagai v0.5.2 keesokan harinya untuk GIF pada ukuran maksimum 65.535 kali 65.535 piksel. Memperbaiki perhitungan batas, ternyata, menjadi sumber kecil bug batas tersendiri.

Membaca angka dengan benar

Kalimat Anthropic sendiri adalah "lebih dari 500 kerentanan tingkat keparahan tinggi." Axios, yang lebih dulu diberi pengarahan oleh perusahaan, menggambarkannya pada hari penerbitan sebagai "lebih dari 500 kerentanan zero-day yang sebelumnya tidak diketahui," yang masing-masing divalidasi oleh anggota tim Anthropic atau peneliti keamanan eksternal. Kedua deskripsi menunjuk pada kumpulan yang sama, tetapi hanya satu yang merupakan rumusan vendor, dan tidak satu pun disertai daftar, pemetaan CVE, atau distribusi tingkat keparahan. Jumlahnya milik Anthropic, penilaian tingkat keparahannya milik Anthropic, dan tiga proyek yang diuraikan dalam tulisan itu adalah satu-satunya yang dapat diperiksa publik.

Analisis independen yang menyusul sebagian besar menerima angka itu apa adanya dan memperdebatkan maknanya. Mitch Ashley dari Futurum Group menulis pada 24 Februari 2026 bahwa hasil tersebut "lebih penting karena apa yang diungkapkan metodenya daripada jumlahnya," dan bahwa kendala sebenarnya ada di hilir: "Menemukan lebih banyak kerentanan dengan lebih cepat tidak memperkecil permukaan serangan. Itu membangun antrean yang lebih besar di depan proses hilir yang tidak dapat menyerap volume tersebut." Itu adalah kritik terhadap alur pengungkapan, bukan terhadap temuan itu, dan mengarah pada poin yang sama yang diangkat Anthropic tentang jendela 90 hari.

Apa yang tidak ditetapkan oleh catatan tersebut

Arsip memberi catatan ini nilai keyakinan A, tingkat keparahan info, tanpa kerugian nyata yang tercatat dan tanpa tanda sengketa. Penilaian itu tentang seberapa baik peristiwa tersebut didokumentasikan, bukan tentang seberapa baik klaim dasarnya telah diaudit, dan perbedaan itu layak dipertahankan. Tidak ada pihak di luar Anthropic yang telah memverifikasi 500 itu. Tidak ada tingkat positif palsu yang dipublikasikan. Patch untuk tiga proyek yang disebutkan itu nyata dan dapat ditentukan tanggalnya, dan itu adalah korroborasi terkuat yang tersedia — tetapi itu mengonfirmasi tiga contoh, bukan totalnya.

Yang tersisa, dengan demikian, adalah pengumuman yang terdokumentasi baik dengan inti yang dapat diperiksa dan sisanya yang tidak dapat diperiksa: seorang vendor yang melaporkan suatu kemampuan, tiga diff upstream yang cocok dengan deskripsinya tentang bug, dan niat yang dinyatakan untuk menindak penyalahgunaan kemampuan itu di lapisan model. Arsip mengarsipkannya sebagai kebijakan, yang merupakan rak yang tepat. Klaim kemampuan itu akan diputuskan oleh siapa pun yang menerbitkan patch keempat.