Microsoft mengungkap tantangan baru dalam pemanfaatan teknologi kecerdasan buatan untuk mendeteksi dan memperbaiki celah keamanan perangkat lunak. Melalui penelitian yang dipublikasikan pada 7 Oktober 2026, tim Frontier Offensive Research & Generative Exploitation atau FORGE Lab menjelaskan bahwa kemampuan AI menemukan kerentanan kini berkembang semakin cepat. Namun, penemuan tersebut belum tentu langsung menghasilkan perbaikan yang dapat diterapkan secara aman. Proses validasi, penentuan prioritas, koordinasi dengan pengembang, dan pengujian pembaruan justru menjadi tantangan berikutnya. Riset ini menunjukkan bahwa keberhasilan keamanan siber berbasis AI tidak cukup diukur melalui banyaknya celah yang ditemukan, tetapi juga melalui efektivitas penanganannya.
Riset Microsoft Mengungkap Perubahan Penting dalam Teknologi Keamanan AI
Penelitian keamanan terbaru Microsoft menunjukkan bahwa perkembangan teknologi kecerdasan buatan semakin memengaruhi metode pemeriksaan kelemahan sistem. Dalam kegiatan Frontier Offensive Research & Generative Exploitation Lab, Microsoft menerapkan sistem agen keamanan otomatis yang dirancang menganalisis bagian sistem yang berpotensi memiliki kelemahan. Berbeda dari pendekatan pencarian kesalahan konvensional, sistem berbasis AI dapat membantu menalar alur eksekusi program. Inovasi tersebut menawarkan manfaat untuk menemukan kelemahan lebih awal sebelum menjadi ancaman yang lebih besar. Meskipun potensinya besar, temuan otomatis tetap harus melalui validasi sebelum dianggap sebagai kerentanan nyata.
Berdasarkan pemaparan FORGE Lab, Microsoft mengidentifikasi tiga arah perkembangan dalam pengembangan teknologi keamanan siber. Tantangan pertama adalah upaya mengubah kemampuan eksperimen menjadi proses yang konsisten. Perubahan kedua berkaitan dengan efisiensi biaya penalaran AI. Sementara itu, perubahan ketiga adalah pembentukan alur pemeriksaan berkelanjutan. Perubahan yang dijelaskan Microsoft menggambarkan bahwa kualitas penelitian kerentanan tidak cukup dinilai melalui jumlah temuan. Sebaliknya, organisasi perlu memastikan apakah pembaruan berhasil diterapkan secara aman.
Cara Kerja Teknologi AI Microsoft dalam Menganalisis Kerentanan
Sistem yang digunakan dalam penelitian Microsoft adalah MDASH, yaitu kerangka pemindaian berbasis beberapa model AI. Teknologi tersebut memungkinkan penggunaan berbagai komponen analisis otomatis dalam proses penelitian terstruktur. Berkat pengelolaan agen, agen tertentu bisa memeriksa lokasi program yang mencurigakan. Sementara itu, sistem berikutnya dapat memeriksa kelayakan temuan. Arsitektur tersebut berpotensi memperluas cakupan penelitian keamanan. Meskipun beberapa tahapan dapat dijalankan AI, validasi oleh tim keamanan tetap dibutuhkan untuk memastikan ketepatan laporan.
Menurut hasil yang dipaparkan Microsoft, penggunaan sistem tersebut membantu identifikasi kerentanan Windows yang mencapai 140 CVE dalam rentang lima bulan sejak Mei 2026. Dari jumlah tersebut, sebanyak 52 CVE masuk dalam rilis perbaikan September 2026. Tidak hanya mempelajari komponen Windows, anggota FORGE menyampaikan 155 laporan yang mendapatkan validasi awal pada 23 proyek perangkat lunak sumber terbuka. Proyek yang diteliti melibatkan kernel Linux dan berbagai perangkat lunak populer. Pencapaian penelitian ini memberikan bukti aktivitas penelitian keamanan berbasis AI, tetapi bukan bukti bahwa semua temuan telah diumumkan. Temuan yang diterima tetap membutuhkan verifikasi lanjutan sesuai tingkat risiko.
Mengapa Laporan Kerentanan AI Tidak Selalu Langsung Dapat Diperbaiki
Hambatan utama dalam penelitian kerentanan otomatis adalah membedakan kerentanan nyata dari dugaan keliru. Model kecerdasan buatan berpotensi menyusun laporan yang terlihat meyakinkan meskipun masalah sebenarnya belum terbukti. Situasi semacam ini berpotensi menimbulkan laporan positif palsu sehingga waktu peneliti terbuang. Selain itu, temuan yang berulang juga dapat memenuhi antrean. Oleh karena itu, organisasi perlu mengutamakan temuan yang telah melalui validasi daripada hanya mengejar volume pemindaian.
Microsoft menekankan bahwa kemampuan menghasilkan laporan otomatis perlu disertai proses validasi yang memadai. Pada kegiatan penelitian profesional, temuan yang dianggap penting biasanya perlu diperiksa melalui prosedur pembuktian teknis. Dalam situasi sederhana, laporan kesalahan pengelolaan memori membutuhkan bukti perilaku program. Ketika pengujian belum mendukung laporan, pengembang perlu memeriksa bagian kode terkait. Langkah validasi semacam ini membantu menghindari kesalahan prioritas. Melalui proses ini, kualitas temuan dapat meningkat.
Mengukur Kinerja AI melalui Biaya Pengujian Kerentanan
Tidak hanya berkaitan dengan validasi, Microsoft memberikan perhatian pada efisiensi komputasi model ketika sistem diterapkan dalam skala besar. Perhitungan efisiensi AI perlu dipertimbangkan karena pengujian otomatis mengonsumsi waktu dan kapasitas. Dalam evaluasi FORGE Lab, MDASH menandai ribuan lokasi mencurigakan pada kernel Linux dan menghasilkan bukti pendukung untuk 627 temuan. Dalam sebagian pengujian itu, Microsoft menilai kebutuhan model dalam pengujian otomatis. Pengukuran tersebut digunakan untuk menilai apakah otomatisasi benar-benar efisien. Berkat evaluasi sumber daya, organisasi dapat mempertimbangkan manfaat tambahan setiap proses secara lebih rasional.
Pada kelompok kasus yang berhasil divalidasi, Microsoft melaporkan bahwa pembuatan proof of concept untuk 182 temuan crash yang terkonfirmasi menghasilkan pengeluaran model sekitar 3,61 dolar AS per kasus dengan waktu rata-rata 21,5 menit. Di sisi pengujian berbeda, enam kasus terpilih yang diperiksa potensi peningkatan hak akses lokalnya membutuhkan rata-rata biaya 8,56 dolar AS dan waktu sekitar 25,4 menit. Perlu dipahami, hasil evaluasi tersebut tidak mencakup seluruh pengeluaran seperti pemeriksaan awal. Dengan pertimbangan tersebut, informasi biaya harus dilihat sebagai hasil eksperimen dengan ruang lingkup khusus, bukan patokan mutlak pengeluaran keamanan.
Masa Depan Teknologi Keamanan Microsoft melalui Validasi Berkelanjutan
Penelitian FORGE Lab turut memperlihatkan bahwa penemuan celah hanyalah tahap awal. Sesudah laporan dinyatakan valid, tim keamanan harus mengevaluasi penyebab masalah. Dalam proyek sumber terbuka, kerja sama antartim memiliki peran utama karena setiap proyek memiliki aturan pelaporan berbeda. Sebagian kerentanan dapat memerlukan pengungkapan terkoordinasi. Selain itu, penerapan patch harus dipastikan tidak merusak fungsi lain. Berkat koordinasi yang tepat, temuan AI berpotensi berubah menjadi perbaikan bermanfaat bagi komunitas pengembang.
Sebagai bagian dari pengembangan tersebut, Microsoft turut mendukung Akrites, yaitu upaya kolaboratif di bawah Linux Foundation yang bertujuan membantu penanganan celah pada proyek penting. Dalam kegiatan Akrites, tim FORGE mengirimkan sembilan temuan Linux yang dinilai memiliki skor CVSS internal lebih tinggi dari 7,0. Salah satu laporan tersebut tercatat sebagai laporan pertama melalui Akrites dengan perbaikan diterima yang digabungkan ke kernel Linux. Hasil kolaborasi tersebut menunjukkan pentingnya koordinasi antara peneliti dan pengembang. Dalam pengembangan berikutnya, tim keamanan sebaiknya memperkuat sistem penanganan kerentanan terpadu agar perbaikan dapat diterapkan tepat waktu.
Pentingnya Validasi dan Perbaikan dalam Penelitian Kerentanan Modern
Kajian Microsoft mengenai AI keamanan mengungkapkan bahwa kemampuan AI generatif membuka peluang besar dalam mendeteksi kerentanan perangkat lunak. Melalui sistem MDASH, Microsoft berhasil meningkatkan skala penelitian pada sejumlah sistem perangkat lunak penting. Meskipun jumlah temuan meningkat, kecepatan pemindaian bukan satu-satunya ukuran keberhasilan. Konfirmasi kerentanan, efisiensi penggunaan sumber daya, serta koordinasi perbaikan tetap menjadi prioritas. Berkat kerja sama antara teknologi pemeriksaan cerdas dan koordinasi pengembang, organisasi berpotensi meningkatkan efektivitas perlindungan sistem. Dari sudut pandang Anda, apakah teknologi penelitian kerentanan berbasis AI akan berkembang pesat? Mari berbagi pemikiran Anda mengenai pentingnya validasi dalam riset keamanan.
