Cal.com beralih dari open source ke closed source karena ancaman keamanan AI

• Setelah beroperasi sebagai open source selama 5 tahun, Cal.com memutuskan untuk beralih ke closed source karena meningkatnya ancaman keamanan berbasis AI
• Di era ketika AI dapat menganalisis codebase secara otomatis untuk menemukan kerentanan, kode yang terbuka menjadi petunjuk langsung bagi penyerang
• Perusahaan memilih mengurangi risiko keamanan dibanding mempertahankan open source demi melindungi data pelanggan
• Untuk tetap menjaga semangat open source, proyek Cal.diy dirilis dengan lisensi MIT, menyediakan versi self-hosted untuk komunitas
• Seiring AI berkembang dengan kecepatan yang melampaui sistem keamanan lama, Cal.com menyatakan niat untuk kembali ke open source setelah situasi keamanan lebih stabil

---

Keputusan Cal.com menghentikan open source dan ancaman keamanan AI

• Cal.com telah beroperasi sebagai open source selama 5 tahun, tetapi memutuskan beralih ke closed source karena lonjakan ancaman keamanan berbasis AI
  • Perlindungan data pelanggan ditempatkan sebagai prioritas utama, dan mempertahankan open source dinilai tidak lagi cukup aman
  • Perusahaan menyebut ini sebagai “keputusan yang tidak mudah”
• Di masa lalu, mengeksploitasi kerentanan aplikasi membutuhkan waktu dan upaya dari peretas yang terampil, tetapi kini telah memasuki era ketika AI secara otomatis memindai codebase untuk menemukan celah keamanan
  • Kode open source digambarkan sebagai “memberikan cetak biru brankas kepada penyerang”
  • Karena startup keamanan AI mulai mengomersialkan kemampuan ini, tiap sistem mendeteksi jenis kerentanan yang berbeda sehingga sulit menetapkan satu standar keamanan tunggal yang dapat dipercaya
• Cal.com mengatakan mereka harus memilih satu dari dua opsi
  • mempertahankan open source sambil menerima risiko terhadap data pelanggan, atau
  • beralih ke closed source untuk mengurangi risiko
  • Meski bukan solusi sempurna, ini dinilai sebagai keputusan yang tak terhindarkan untuk melindungi pengguna
• Untuk melanjutkan semangat open source, Cal.com membuka proyek terpisah bernama Cal.diy di bawah lisensi MIT
  • Cal.diy adalah versi terbuka untuk developer dan pengguna hobi, yakni versi self-hosted yang berfokus pada komunitas
  • Codebase layanan utama telah banyak berubah pada struktur inti seperti sistem autentikasi dan pemrosesan data, sehingga secara teknis kini terpisah dari Cal.diy
• AI dengan cepat mengubah lanskap keamanan, dan disebut juga contoh ketika AI menemukan kerentanan BSD kernel yang telah berusia 27 tahun lalu membuat exploit hanya dalam hitungan jam
  • Kecepatan dan presisi seperti ini melampaui sistem respons keamanan yang ada
  • Cal.com menyatakan sedang mengambil semua langkah yang memungkinkan untuk melindungi pelanggan, aplikasi, dan data sensitif, serta menyampaikan keinginan untuk kembali menjadi open source jika lingkungan keamanan sudah stabil

Arah ke depan dan pesan perusahaan

• Saat ini, mitigasi risiko keamanan dan perlindungan pengguna menjadi prioritas utama
• Hubungan dengan komunitas open source akan tetap dijaga melalui Cal.diy
• Dalam jangka panjang, kemungkinan kembali ke open source tetap terbuka seiring evolusi lingkungan keamanan
• Keputusan ini menunjukkan bahwa realitas keamanan di era AI kini berdampak langsung pada model distribusi software

[GN⁺]

Opini Hacker News

• Drew Breunig kemarin sampai pada kesimpulan yang sepenuhnya berlawanan dalam tulisan ini
  Kini celah keamanan menjadi sumber daya yang bisa ditemukan dengan memakai token, sehingga justru open source makin bernilai
  Open source memungkinkan banyak proyek berbagi biaya audit, sedangkan closed source harus menemukan semua kerentanannya sendiri

  • Tulisan itu juga diposting ulang di sini. Judulnya Cybersecurity looks like proof of work now
  • Alasan sebenarnya tampaknya untuk mencegah AI melakukan copyright-wash pada produk. Keamanan terasa hanya dijadikan alasan
  • Kesimpulan ini terdengar lebih meyakinkan. Mythos baru muncul beberapa minggu, jadi aneh kalau prinsip berubah secepat ini. Mungkin ada alasan bisnis, dan sekarang mereka sedang mencari dalih yang enak dijual ke publik
  • Secara ekonomi ini juga masuk akal. Pada akhirnya harus menciptakan nilai yang cukup untuk menanggung biaya token, atau mengurangi keuntungan ekonomi dari penemuan celah
    Itu bisa dilakukan dengan memperkecil cakupan distribusi atau menurunkan hak akses sistem.
    Ke depan kemungkinan akan berevolusi menjadi bentuk "spesifikasi terbuka + generasi kode berbasis model". Keamanan dan tata kelola diperkirakan berlangsung di layer model
  • Pernyataan "untuk memperkuat sistem, kita harus memakai lebih banyak token daripada penyerang" terdengar aneh. Kalau software sudah matang, attack surface seharusnya menyusut, dan Mythos tidak menghasilkan kerentanan baru. Pembela seharusnya punya keunggulan dari sisi token

• Saya penanggung jawab proyek Thunderbird. Alat penjadwalan kami, Thunderbird Appointment, akan selalu tetap open source
  Kami mengundang Anda ikut membangunnya bersama di repositori GitHub. Kami akan membantu agar ini bisa menjadi pengganti Cal.com

  • Akan bagus kalau ada screenshot di README atau layar sebelum login. Alatnya terlihat bagus, tapi saya penasaran harga versi hosting-nya
  • Tapi di laptop Linux lama, Thunderbird terlalu berat. Semoga pengguna perangkat low-end juga dipertimbangkan. Permintaannya adalah menjaga internet tetap pada tingkat yang masih bisa ditanggung
  • Saya masuk ke situsnya, memasukkan email, lalu dilempar ke daftar tunggu, dan akhirnya email saya diblokir. Pengalaman pengguna-nya buruk
  • Menanggapi ajakan "ayo bangun bersama kami", ada yang bercanda, "jadi saya perlu appointment dulu?"
  • Ada juga tanggapan positif bahwa ini tampak seperti alternatif yang bagus

• Kalau LLM memang sebagus itu dalam menemukan kerentanan kode, bukankah tinggal menjalankan pentest LLM internal sebelum rilis?
  Rasanya seperti hukum Linus(tautan) akhirnya benar-benar jadi kenyataan

  • Tapi setelah rilis, penyerang bisa menganalisis kode dengan waktu tak terbatas dan LLM yang makin pintar.
    Untuk bertahan, kita harus melakukan lebih dulu pada setiap rilis semua yang mungkin dilakukan penyerang
  • Seiring LLM berkembang, pemeliharaan FOSS mengalami lonjakan biaya waktu dan tenaga kerja.
    Isu dan PR berkualitas rendah buatan AI makin banyak, sehingga insentif untuk mempertahankan open source menurun.
    Saat produk komersial dibangun di atas core FOSS, transisi seperti ini tampaknya akan makin sering terjadi
  • Di closed source, LLM bisa dimanfaatkan secara internal untuk memperkuat keamanan.
    Tapi bisa dipahami juga kalau mereka menutupnya agar tidak membuka peluang serangan dari luar
  • Di lingkungan dengan commit yang sering, seluruh codebase harus dipindai dengan LLM setiap kali, sehingga biaya meledak.
    Tempat seperti GitHub pun biaya analisis statisnya sudah tinggi
  • Pada akhirnya, ada pendapat bahwa sebaiknya menulis kode yang sederhana, dan melakukan pengujian keamanan LLM sampai level compiler

• Keputusan ini tampak lebih sebagai pertimbangan bisnis daripada keamanan.
  Berkat AI, self-hosting makin mudah, sehingga pendapatan hosting berbayar dari proyek open source menurun

  • Orang-orang memakai LLM untuk langsung membuat "fitur pro" sendiri atau menemukan titik ekstensi. Keamanan hanyalah hiasan luar
  • Menyalahkan AI hanyalah alasan. AI sudah belajar dari kode sejak lama. Algoritme genetik + fuzzing kalau digabung bisa belajar jauh lebih cepat daripada manusia
  • Sekarang semua hal disalahkan pada AI. PHK, penghentian produk, sampai penutupan source code semuanya dibilang gara-gara AI
  • Produk ini juga sudah terkomoditisasi, seperti alat appointment Google Workspace
  • Pada akhirnya muncul juga kritik bahwa mereka adalah "sellout"

• Sebagai calon pelanggan, saya kecewa dengan keputusan Cal.com.
  Open source bisa mendapatkan kepercayaan berkat SSDLC yang transparan, sedangkan closed source membuat kita tak punya pilihan selain percaya pada vendor
  Saya tidak setuju dengan argumen Drew Breunig. Jumlah bug itu terbatas, dan kalau model yang cukup kuat memindai kode secara berkala, maka probabilitas kerentanan yang tersisa turun tajam

• "Kalau AI bisa memindai kode open source?" → ya tinggal perbaiki bug-nya.
  Logika ini sama sekali tidak meyakinkan

• Pernyataan "kami akan menutup karena AI bisa mengakses kode" hanyalah alasan belaka

  • Alasan sebenarnya bukan AI atau keamanan, melainkan karena proyek kloning terlalu banyak dan pendapatan menurun

• Keputusan seperti ini pada akhirnya terlihat seperti security through obscurity.
  Sulit tidak bertanya sejak kapan itu dianggap model yang benar

  • Obscurity hanya efektif bila bukan jadi pertahanan utama, melainkan alat pencegah tambahan
  • Mengurangi attack surface bukanlah obscurity, melainkan strategi meminimalkan vektor serangan
  • Meski begitu, ada juga pendapat bahwa ini tetap lebih baik daripada "keamanan tanpa obscurity"
  • Ada co-founder yang berkata, "anak tetangga umur 16 tahun bisa meretas ini dalam 15 menit dengan 100 dolar"
  • Mereka tampaknya lupa kenapa konsep "jangan jadikan obscurity sebagai keamanan" muncul.
    Bukan karena generasi sebelumnya bodoh, melainkan karena itu pendekatan yang tampak bagus di permukaan tetapi gagal dalam praktik

• Ucapan Cal.com bahwa "kami percaya pada open source" terdengar hampa.
  Kalau memang tulus, mereka tidak akan memberikan dalih kosong seperti ini

• Ini adalah alasan yang bahkan sudah bisa dipakai sebelum era AI.
  Intinya terlihat seperti upaya melindungi pendapatan karena produk intinya tidak cukup terdiferensiasi.
  Pada akhirnya ini hanya langkah untuk melindungi penjualan