Microsoft mengungkap tantangan baru dalam pemanfaatan teknologi kecerdasan buatan untuk mendeteksi dan memperbaiki celah keamanan perangkat lunak. Melalui penelitian yang dipublikasikan pada 7 Oktober 2026, tim Frontier Offensive Research & Generative Exploitation atau FORGE Lab menjelaskan bahwa kemampuan AI menemukan kerentanan kini berkembang semakin cepat. Namun, penemuan tersebut belum tentu langsung menghasilkan perbaikan yang dapat diterapkan secara aman. Proses validasi, penentuan prioritas, koordinasi dengan pengembang, dan pengujian pembaruan justru menjadi tantangan berikutnya. Riset ini menunjukkan bahwa keberhasilan keamanan siber berbasis AI tidak cukup diukur melalui banyaknya celah yang ditemukan, tetapi juga melalui efektivitas penanganannya.
Mengenal Penelitian FORGE Lab tentang Pendeteksian Celah Perangkat Lunak
Penelitian keamanan terbaru Microsoft mengungkapkan bahwa kemajuan sistem AI generatif mulai mengubah proses penelitian celah keamanan. Melalui FORGE Lab, Microsoft menerapkan sistem agen keamanan otomatis yang dirancang menganalisis bagian sistem yang berpotensi memiliki kelemahan. Berbeda dari pemindaian berbasis pola sederhana, sistem berbasis AI mampu menganalisis kondisi yang menyebabkan kerentanan. Kemampuan tersebut menawarkan manfaat untuk membantu peneliti mengidentifikasi masalah sebelum dimanfaatkan penyerang. Namun demikian, laporan yang dihasilkan model tetap memerlukan pembuktian sebelum dianggap sebagai kerentanan nyata.
Dalam laporan yang diterbitkan pada 7 Oktober 2026, Microsoft menjelaskan tiga perubahan penting dalam penelitian keamanan berbasis AI. Tantangan pertama adalah peralihan dari kemampuan menemukan celah menuju penerapan berskala besar. Tantangan berikutnya berkaitan dengan perhitungan biaya penggunaan model. Adapun, perubahan ketiga adalah penggabungan validasi dan perbaikan. Ketiga aspek tersebut menggambarkan bahwa kualitas penelitian kerentanan tidak semata-mata ditentukan kemampuan model. Dengan kata lain, organisasi perlu memastikan apakah laporan dapat dibuktikan secara aman.
Cara Kerja Teknologi AI Microsoft dalam Menganalisis Kerentanan
Komponen penting dalam penelitian Microsoft adalah MDASH, yaitu kerangka pemindaian berbasis beberapa model AI. Teknologi tersebut dirancang untuk menggabungkan berbagai komponen analisis otomatis dalam satu alur pemeriksaan. Dengan sistem tersebut, sebagian komponen dapat menelusuri lokasi program yang mencurigakan. Pada tahapan berbeda, agen lainnya dapat membantu melakukan validasi. Strategi penggunaan beberapa agen berpotensi memperluas efisiensi pemeriksaan kode. Namun demikian, peneliti manusia tetap diperlukan untuk menentukan dampak.
Menurut hasil yang dipaparkan Microsoft, penggunaan sistem tersebut mendukung pengungkapan kerentanan Windows yang tercatat sebanyak 140 CVE dalam rentang lima bulan sejak Mei 2026. Pada periode pengujian itu, sebanyak 52 CVE masuk dalam rilis perbaikan September 2026. Di luar pemeriksaan sistem operasi Microsoft, anggota FORGE turut menghasilkan 155 laporan yang telah divalidasi secara internal pada 23 proyek perangkat lunak sumber terbuka. Proyek yang diteliti mencakup proyek dengan penggunaan luas. Hasil tersebut menggambarkan kemampuan penerapan keamanan berbasis AI, tetapi tidak menunjukkan seluruh masalah telah selesai diperbaiki. Setiap laporan tetap membutuhkan verifikasi lanjutan sesuai tingkat risiko.
Pentingnya Pemeriksaan Hasil Pendeteksian Celah Perangkat Lunak
Masalah penting dalam penggunaan teknologi pemindaian cerdas adalah memastikan setiap temuan benar-benar valid. Model kecerdasan buatan dapat menghasilkan laporan yang terlihat meyakinkan meskipun perilaku program tidak menunjukkan kerentanan. Masalah validasi tersebut dapat menghasilkan false positive sehingga beban kerja tim keamanan meningkat. Tidak hanya terkait akurasi, laporan duplikat berpotensi membebani proses triase. Untuk meningkatkan kualitas, organisasi perlu mengutamakan laporan dengan bukti kuat daripada hanya mengejar volume pemindaian.
Tim FORGE menggarisbawahi bahwa volume pemeriksaan menggunakan AI perlu disertai proses validasi yang memadai. Dalam praktik keamanan, laporan yang berpotensi berdampak biasanya sebaiknya dikonfirmasi melalui sistem reproduksi yang sesuai. Sebagai contoh, dugaan penggunaan memori yang tidak aman sebaiknya menyertakan hasil pengujian yang dapat diulang. Jika masalah tidak dapat direproduksi, tim keamanan mungkin perlu melakukan investigasi tambahan. Langkah validasi semacam ini membantu menghindari kesalahan prioritas. Berkat validasi yang konsisten, penanganan celah berlangsung lebih terarah.
Mengukur Kinerja AI melalui Biaya Pengujian Kerentanan
Tidak hanya berkaitan dengan validasi, Microsoft turut membahas pengeluaran untuk penalaran otomatis ketika pemindaian dilakukan terhadap kode berukuran besar. Perhitungan efisiensi AI menjadi penting karena setiap proses analisis membutuhkan sumber daya. Berdasarkan pengukuran tim keamanan, MDASH menemukan ribuan lokasi mencurigakan pada kernel Linux dan menyiapkan hasil validasi untuk 627 temuan. Dalam sebagian pengujian itu, Microsoft mengukur biaya pembuatan bukti konsep. Pengukuran tersebut bertujuan memahami apakah sumber daya AI dimanfaatkan dengan tepat. Melalui analisis ekonomi tersebut, organisasi dapat mempertimbangkan kebutuhan pemeriksaan lanjutan secara lebih sistematis.
Dalam pengujian tertentu, Microsoft mengungkapkan bahwa pembuatan proof of concept untuk 182 temuan crash yang terkonfirmasi menghasilkan pengeluaran model sekitar 3,61 dolar AS per kasus dengan waktu rata-rata 21,5 menit. Sementara itu, enam kasus terpilih yang dianalisis untuk menilai risiko eskalasi privilese membutuhkan rata-rata biaya 8,56 dolar AS dan lama pemrosesan sekitar 25,4 menit. Walaupun hasil tersebut memberikan gambaran, pengukuran performa itu belum memasukkan semua biaya operasional seperti pemeriksaan awal. Oleh sebab itu, angka tersebut perlu ditafsirkan sebagai indikator efisiensi dalam kondisi penelitian, bukan jaminan biaya untuk semua proyek.
Pentingnya Koordinasi Pengembang dalam Menangani Celah Open Source
Riset keamanan Microsoft turut memperlihatkan bahwa penemuan celah hanyalah tahap awal. Setelah masalah ditemukan, pengembang perlu memahami penyebab masalah. Dalam proyek sumber terbuka, proses koordinasi menjadi sangat penting karena mekanisme pengungkapan dapat bervariasi. Beberapa masalah keamanan mungkin membutuhkan laporan privat. Selain itu, pembaruan kode sumber harus diuji untuk menghindari regresi. Berkat koordinasi yang tepat, hasil analisis otomatis dapat memberikan dampak positif bagi komunitas pengembang.
Sebagai bagian dari pengembangan tersebut, Microsoft berkontribusi terhadap Akrites, yaitu program koordinasi keamanan dari Linux Foundation yang bertujuan membantu penanganan celah pada proyek penting. Dalam kegiatan Akrites, tim FORGE mengirimkan sembilan temuan Linux yang mendapatkan skor kerentanan internal melampaui 7,0. Salah satu laporan tersebut tercatat sebagai laporan pertama melalui Akrites dengan perbaikan diterima yang digabungkan ke kernel Linux. Perkembangan tersebut menjadi contoh nyata proses perbaikan setelah validasi. Dalam pengembangan berikutnya, tim keamanan sebaiknya memperkuat mekanisme validasi yang konsisten agar temuan penting memperoleh prioritas.
Pentingnya Validasi dan Perbaikan dalam Penelitian Kerentanan Modern
Kajian Microsoft mengenai AI keamanan mengungkapkan bahwa sistem penelitian berbasis agen membuka peluang besar dalam mendukung pengujian keamanan siber. Berkat penerapan teknologi analisis otomatis, Microsoft menunjukkan kemampuan pemeriksaan yang lebih luas pada beragam lingkungan pengembangan. Walaupun hasil penelitian menjanjikan, volume laporan tidak otomatis menentukan keamanan. Validasi temuan, perhitungan pengeluaran penelitian, serta penerapan patch yang aman tetap harus diperhatikan. Dengan menggabungkan teknologi pemeriksaan cerdas dan keahlian manusia, pengembang memiliki kesempatan memperbaiki efektivitas perlindungan sistem. Menurut Anda, apakah otomatisasi pendeteksian celah akan menjadi kebutuhan utama? Silakan bagikan pendapat Anda mengenai pentingnya validasi dalam riset keamanan.
