Capital One baru-baru ini meluncurkan VulnHunter, sebuah alat keamanan AI sumber terbuka yang dirancang untuk memindai kode sumber guna menemukan kerentanan yang bisa dieksploitasi. Alat ini tidak hanya memetakan bagaimana seorang penyerang dapat mengakses kerentanan tersebut, tetapi juga mengusulkan perbaikan yang tepat — semuanya sebelum satu baris kode yang terdeteksi dikirim ke lingkungan produksi. Dibuat secara internal dan kini tersedia di GitHub dengan lisensi Apache 2.0, VulnHunter adalah salah satu upaya paling ambisius oleh lembaga keuangan besar untuk mengubah kemampuan AI agresif menjadi sumber daya defensif yang dapat diakses publik.
- Kenapa Capital One Memberikan Alat Ini Secara Gratis
- Mengapa Capital One Yakin Membuka Sumber VulnHunter Memperkuat Pertahanan Bersama
- Bagaimana Capital One Memperbaiki Reputasi Keamanannya melalui Investasi Sumber Terbuka
- Di Dalam Tiga Tahapan Mesin AI VulnHunter untuk Menemukan Kode yang Dapat Dieksploitasi
- Mengapa Serangan Berbasis AI Memaksa Bank Untuk Memikirkan Kembali Pertahanan Siber Tradisional
- Apa yang Mengungkapkan Perjalanan Keamanan Cloud Capital One Tentang Seluruh Industri Perbankan
Di tengah meningkatnya ancaman AI baru, keputusan Capital One untuk membuka sumber alat ini mencerminkan usaha, menurut CISO Chris Nims, untuk menangani “rentang waktu yang semakin singkat sebelum kemampuan serangan AI generasi berikutnya menjadi terjangkau dan dapat diakses oleh hampir semua lawan.”
VulnHunter bukan sekadar alat pemindai kerentanan biasa. Alat ini mengenalkan apa yang disebut perusahaan sebagai “analisis maju dengan fokus pada penyerang” — suatu alur kerja di mana alat ini mulai dari titik masuk di mana penyerang nyata akan berinteraksi dengan sistem, seperti API, pesan jaringan, atau unggahan file, dan kemudian menganalisis logika aplikasi untuk menentukan apakah jalur eksploitasi dapat melewati pertahanan yang ada. Pemindai konvensional biasanya bekerja secara terbalik, menandai pola kode yang mencurigakan dan mencari penyerang hipotetis di belakangnya. Pendekatan ini, diakui oleh para praktisi keamanan, sering membanjiri tim engineer dengan banyak false positives.
VulnHunter langsung mengatasi masalah itu dengan inovasi kedua: sebuah “mesin falsifikasi” yang mencoba membantah temuannya sendiri sebelum seorang pengembang melihatnya. Setelah alat ini menemukan potensi kerentanan, alur kerja penalaran terstruktur akan mencari celah logis, asumsi yang tidak didukung, dan kondisi yang akan mencegah serangan berhasil. Temuan yang tidak dapat disingkirkan mesin ini baru akan mencapai pengulas manusia — dan ketika mereka melakukannya, VulnHunter tidak hanya memberikan peringatan tetapi juga penjelasan lengkap tentang jalur eksploitasi dan usulan perbaikan kode yang siap untuk ditinjau oleh tim engineering.
Saat ini, alat tersebut beroperasi di atas model Claude Opus 4.8 dari Anthropic di dalam lingkungan Claude Code, meskipun Capital One menyatakan bahwa kerangka kerja ini memiliki potensi untuk bekerja di berbagai model dan alat pengkodean lainnya.
Kenapa Capital One Memberikan Alat Ini Secara Gratis
Ketika ditanya mengapa Capital One memutuskan untuk membuka akses alat yang signifikan ini, Nims menunjuk pada sifat komunitas dari masalah ini. “Kami merasa terdorong untuk membuka sumber VulnHunter karena rantai pasokan perangkat lunak modern sangat terhubung, dan skala ancaman AI jauh lebih besar dibandingkan satu organisasi saja,” kata Nims. “Mengamankan perangkat lunak dan lingkungan digital kita adalah dasar bersama yang menguntungkan para pengembang, perusahaan, dan masyarakat yang bergantung pada sistem yang kita bangun bersama. Alat pertahanan untuk mengatasi kenyataan ini perlu didistribusikan secara luas, diuji, dan ditingkatkan seperti basis kode yang mereka lindungi.”
“Daripada menunggu,” tambahnya, “kami memutuskan bahwa respons yang tepat adalah membangun produk yang sesuai dengan lanskap keamanan kompleks hari ini, dan menyerahkannya ke tangan pembela di mana pun.”
Mengapa Capital One Yakin Membuka Sumber VulnHunter Memperkuat Pertahanan Bersama
Pernyataan ini muncul di tengah situasi yang dikenali baik oleh perusahaan. Pada 19 Juli 2019, Capital One mengungkapkan bahwa individu luar — yang kemudian diidentifikasi sebagai mantan karyawan Amazon Web Services, Paige Thompson — telah mendapatkan akses tidak sah ke nama, alamat, pendapatan yang dilaporkan sendiri, nomor Jaminan Sosial, dan nomor rekening bank yang terkait milik nasabah serta pelamar kartu kredit. Kebocoran tersebut, yang diklaim oleh Capital One terjadi pada 22 dan 23 Maret 2019, hanya ditemukan setelah seorang peneliti keamanan eksternal melaporkan kerentanan konfigurasi melalui Program Penyelamat Tanggung Jawab perusahaan pada 17 Juli tahun tersebut.
Dampaknya sangat luas. Sekitar 100 juta orang di Amerika Serikat dan 6 juta di Kanada terdampak. Sekitar 140.000 nomor Jaminan Sosial, sekitar 80.000 nomor rekening yang terkait, dan sekitar 1 juta Nomor Jaminan Sosial Kanada terkompromi. FBI menangkap Thompson, dan pemerintah menyatakan bahwa mereka percaya data tersebut telah dipulihkan tanpa adanya bukti penipuan. Namun, dampak reputasi dan regulasi sangat besar.
Pada Agustus 2020, Kantor Pengawas Mata Uang mengenakan denda sebesar 80 juta dolar kepada Capital One, menemukan bahwa bank tersebut gagal mengidentifikasi dan mengelola risiko dengan baik saat memindahkan operasi teknologi yang signifikan ke cloud. Seperti dilaporkan oleh Reuters saat itu, perintah persetujuan OCC mencatat kontrol keamanan jaringan yang tidak memadai, langkah-langkah pencegahan kehilangan data yang kurang baik, serta dewan yang gagal memegang manajemen bertanggung jawab ketika audit internal mengungkap masalah. OCC juga memerintahkan Capital One untuk mereformasi operasinya dan menyerahkan rencana keamanan siber baru untuk ditinjau secara regulasi.
CyberScoop saat itu menyebut insiden ini sebagai “kisah peringatan bagi perusahaan-perusahaan yang terburu-buru mengadopsi teknologi baru.” CEO Capital One, Richard D. Fairbank, mengakui keseriusan situasi tersebut. “Meskipun saya bersyukur pelaku telah ditangkap, saya sangat menyesal atas apa yang telah terjadi,” kata Fairbank saat itu. “Saya dengan tulus meminta maaf atas kekhawatiran yang dapat dimengerti yang pasti dirasakan oleh mereka yang terdampak dan saya berkomitmen untuk memperbaikinya.”
Bagaimana Capital One Memperbaiki Reputasi Keamanannya melalui Investasi Sumber Terbuka
Setelah peristiwa tersebut, tidak ada penarikan dari teknologi, tapi justru penguatan — dengan fokus pada keamanan secara eksplisit.
Capital One mulai merilis proyek-proyek sumber terbuka pada tahun 2014 dan menyatakan diri sebagai perusahaan “sumber terbuka pertama” pada tahun 2015 sebagai bagian dari transformasi teknologi yang lebih luas yang dimulai lebih dari satu dekade yang lalu. Perusahaan ini terus berinvestasi dalam keamanan rantai pasokan perangkat lunak, tata kelola sumber terbuka, dan pertahanan yang didorong oleh AI. Pada Agustus 2022, Capital One bergabung dengan Open Source Security Foundation sebagai anggota premier, mendapatkan kursi di Dewan Pengurus organisasi tersebut. Chris Nims, saat itu EVP Cloud & Productivity Engineering, menggambarkan langkah ini sebagai perpanjangan alami dari filosofi operasional perusahaan. “Sebagai perusahaan yang sangat diatur, kami berpengalaman dalam pengelolaan kepatuhan dan tata kelola dan mendukung standardisasi, otomatisasi, dan kolaborasi,” katanya dalam pengumuman OpenSSF.
Dibalik komitmen publik tersebut terdapat suatu perangkat operasional yang substansial. Open Source Program Office Capital One, kini dalam iterasi ketiga, mengelola penggunaan, kontribusi, dan pembangunan komunitas sumber terbuka di seluruh perusahaan. Perusahaan telah merilis lebih dari 40 proyek sumber terbuka dan membuat ribuan kontribusi pada proyek-proyek sumber terbuka eksternal yang mereka andalkan. Usaha tersebut tidak hanya menangani ketergantungan kode, tetapi juga seluruh siklus hidup pengembangan perangkat lunak — alat DevSecOps, infrastruktur, dan lingkungan kolaboratif, baik internal maupun eksternal, yang membentuk bagaimana perangkat lunak dibangun dan dikirim.
VulnHunter adalah produk paling signifikan dari upaya bertahun-tahun itu — dan sinyal paling jelas bahwa Capital One menganggap kolaborasi sumber terbuka bukan sebagai amal, tetapi sebagai strategi keamanan kompetitif. Perusahaan berargumen bahwa rantai pasokan perangkat lunak modern sangat saling terhubung, sehingga satu kerentanan dalam komponen sumber terbuka yang digunakan secara luas dapat berdampak simultan pada ribuan perusahaan. Pertahanan yang bersifat kepemilikan, tidak peduli seberapa canggih, tidak dapat menangani masalah yang secara mendasar bersifat komunal. Dengan merilis VulnHunter di bawah lisensi yang permisif, Capital One mengundang komunitas penelitian keamanan global untuk menguji, memperluas, dan meningkatkan alat ini — secara efektif mengandalkan kerumunan untuk mempertahankan infrastruktur pertahanannya sendiri sambil memperkuat ekosistem yang lebih luas.
Di Dalam Tiga Tahapan Mesin AI VulnHunter untuk Menemukan Kode yang Dapat Dieksploitasi
Bagi pemimpin engineering yang mengevaluasi VulnHunter, arsitektur teknis adalah tempat ambisi alat ini menjadi konkret. Alur kerja terbagi menjadi tiga tahap yang berbeda.
Di tahap pertama — analisis maju dengan fokus pada penyerang — VulnHunter mulai dari titik di mana lawan eksternal akan berinteraksi dengan sistem: titik akhir API, pengolah pesan jaringan, antarmuka unggah file. Dari setiap titik masuk, alat ini menganalisis maju melalui logika aplikasi, melacak aliran data, transformasi, dan titik pemeriksaan keamanan internal untuk menentukan apakah seorang penyerang benar-benar dapat mencapai jalur kode berbahaya. Pendekatan ini mencerminkan bagaimana seorang penguji penetrasi yang terampil akan menyelidiki sistem, tetapi mengotomatiskan proses ini pada skala yang tidak dapat dicapai oleh tim manusia manapun.
Tahap kedua adalah di mana VulnHunter sangat berbeda dari pemindai konvensional. Setelah mengidentifikasi potensi kerentanan, mesin falsifikasi menjalankan alur kerja penalaran terstruktur yang dirancang untuk membantah kesimpulannya sendiri. Ia mencari asumsi yang tidak benar, celah logis dalam jalur eksploitasi, dan kondisi lingkungan yang dapat mencegah serangan berhasil. Temuan yang gagal melewati tantangan internal ini dibuang sebelum seorang pengembang melihatnya. Tujuan eksplisit Capital One adalah mengalihkan beban pengembang dari memilah alarm palsu — sebuah titik menyakitkan yang terus mengikis kepercayaan terhadap alat keamanan dan memperlambat kecepatan pengembangan.
Di tahap ketiga, kerentanan yang lolos dari mesin falsifikasi memicu alur kerja remediasi yang didukung oleh bukti. VulnHunter mengumpulkan bukti yang mendukung di sepanjang basis kode, memetakan jalur eksploitasi yang berhasil, menjelaskan cacat dan kemampuan spesifik yang akan didapat seorang penyerang, dan menghasilkan perubahan kode yang ditargetkan untuk ditinjau oleh tim engineering. Hasilnya bukanlah saran umum, tetapi proposal patch yang konkret dan sadar konteks.
Capital One mengklaim telah memvalidasi VulnHunter secara internal sebelum rilis, menjalankannya di ribuan repositori yang mencakup berbagai bidang bisnis. Perusahaan melaporkan bahwa alat ini dapat mengidentifikasi dan memperbaiki kerentanan dengan kecepatan dan efisiensi yang jauh melebihi apa yang dicapai oleh tim mereka sebelumnya melalui triase manual.
Mengapa Serangan Berbasis AI Memaksa Bank Untuk Memikirkan Kembali Pertahanan Siber Tradisional
VulnHunter hadir pada saat lanskap keamanan siber berubah di bawah kaki setiap perusahaan. Pengumuman Capital One menggambarkan urgensi dalam istilah yang jelas: model AI canggih telah “secara dramatis menurunkan hambatan bagi pelaku jahat untuk menemukan dan mengeksploitasi kerentanan dalam perangkat lunak,” dan jendela sebelum kemampuan serangan AI yang canggih menjadi terjangkau dan dapat diakses oleh hampir semua lawan semakin menyusut dengan cepat.
“Mengamankan informasi adalah bagian penting dari misi kami dan peran kami sebagai lembaga keuangan,” kata Nims. “Kami telah berinvestasi besar-besaran dalam keamanan siber dan akan terus melakukannya untuk tetap berada di depan dalam lanskap ancaman yang terus berkembang saat ini.”
Peneliti keamanan AI perusahaan sendiri telah memantau tren ini dengan cermat. Di NeurIPS 2024 di Vancouver, tim Capital One mempresentasikan penelitian dan menyusun daftar hampir 100 makalah yang mencakup keamanan LLM, ketahanan terhadap serangan, serangan jailbreak, dan generasi data sintetik. Makalah-makalah tersebut mencerminkan perlombaan senjata di mana kemampuan AI yang ofensif dan defensif berkembang secara bersama-sama dengan kecepatan yang sangat cepat.
Beberapa tema penelitian tersebut langsung terkait dengan arsitektur VulnHunter. Mesin falsifikasi mencerminkan strategi pertahanan adversarial yang dieksplorasi dalam makalah seperti “BackdoorAlign”, yang menunjukkan bahwa menyematkan mekanisme keamanan terstruktur ke dalam sejumlah kecil contoh pelatihan dapat memulihkan penyelarasan keamanan model tanpa mengurangi kinerjanya. Analisis maju dengan fokus pada penyerang mencerminkan filosofi “WildTeaming”, sebuah kerangka kerja yang mengumpulkan dan menganalisis upaya jailbreak dunia nyata untuk membangun model yang lebih tahan lama. Dan penekanan VulnHunter pada pengurangan false positives sejalan dengan tujuan “GuardFormer,” sebuah pengklasifikasi guardrail yang mengungguli GPT-4 pada benchmark keamanan sambil berjalan 14 kali lebih cepat.
Benang yang menghubungkan semua pekerjaan ini adalah keyakinan bahwa keamanan reaktif tradisional — memantau jaringan, memperbaiki kerentanan yang diketahui, merespons insiden setelah terjadi — tidak lagi memadai ketika lawan dapat menggunakan AI untuk menemukan dan mengeksploitasi kerentanan zero-day dalam kecepatan mesin. Satu-satunya pertahanan yang mampu bertahan, menurut Capital One, adalah menemukan dan memperbaiki kerentanan dalam kode Anda sendiri sebelum penyerang menemukannya terlebih dahulu.
Apa yang Mengungkapkan Perjalanan Keamanan Cloud Capital One Tentang Seluruh Industri Perbankan
Perjalanan cloud Capital One juga menerangi suatu evaluasi yang lebih luas di seluruh layanan keuangan. Ketika Capital One secara agresif beralih ke Amazon Web Services pada pertengahan 2010-an, hal itu menjadi raritas di antara bank-bank besar. Kebanyakan lembaga keuangan tidak percaya pada pihak ketiga untuk menyimpan data mereka yang paling sensitif. CIO Capital One saat itu, Rob Alexander, secara terbuka mengadvokasi cloud sebagai lebih aman dibandingkan pusat data bank mereka sendiri — sebuah klaim yang sangat dipersulit oleh kebocoran pada tahun 2019.
Laporan CyberScoop dari periode itu menangkap ketegangan dalam industri. W. Patrick Opet, direktur pelaksana keamanan siber di JP Morgan Chase, menggambarkan perubahan budaya dalam perbankan dari memprioritaskan pedagang menjadi memprioritaskan pengembang: “Sekarang, fokus pada pengembang, ubah segalanya menjadi kode, dan otomatisasi segalanya.” Mark Nicholson, pemimpin cyber Deloitte untuk industri keuangan, mencatat bahwa tekanan untuk bergerak cepat mengekspos “kelemahan dalam metodologi pengembangan.” Dan kebocoran itu sendiri mengingatkan bahwa meskipun Chase menghabiskan 600 juta dolar setiap tahun untuk keamanan siber, kerentanan yang relatif sederhana — seperti bug Apache Struts yang memungkinkan kebocoran Equifax — dapat menggerogoti investasi besar dalam perlindungan data.
Tujuh tahun kemudian, industri telah mengikuti jejak Capital One ke cloud, dan tantangan keamanan hanya semakin meningkat. Pertanyaannya bukan lagi apakah akan menggunakan infrastruktur cloud tetapi bagaimana mengamankan perangkat lunak yang berjalan di atasnya. VulnHunter mewakili jawaban Capital One: daripada hanya mengandalkan kontrol di tingkat jaringan dan pertahanan perimeter, dorong keamanan langsung ke dalam kode itu sendiri, pada saat ditulis. Rilis sumber terbuka juga membawa tekanan kompetitif yang implisit. Jika VulnHunter mendapatkan momentum di kalangan pengembang dan tim keamanan, dapat menjadi tolok ukur baru untuk apa yang diharapkan dari alat keamanan perusahaan — dan memaksa bank-bank saingan, fintech, dan penyedia cloud untuk menandingi atau melebihi kemampuannya.
Apakah VulnHunter dapat memenuhi ambisi tersebut akan bergantung pada adopsi, keterlibatan komunitas, dan kinerja alat ini di dunia nyata melawan serangan berbasis AI yang semakin canggih yang dirancang untuk dilawannya. Namun, rilis itu sendiri menceritakan kisah yang melampaui alat atau perusahaan tunggal mana pun. Pada tahun 2019, firewall yang salah konfigurasi mengekspos 100 juta catatan dan menjadikan Capital One simbol risiko konfigurasi cloud. Di tahun 2026, lembaga yang sama merilis pertahanan yang didorong AI untuk generasi ancaman baru — dan mempertaruhkan keyakinan bahwa cara terbaik untuk melindungi kodenya sendiri adalah dengan membantu seluruh industri melindungi milik mereka.
