Microsoft mengungkap tantangan baru dalam pemanfaatan teknologi kecerdasan buatan untuk mendeteksi dan memperbaiki celah keamanan perangkat lunak. Melalui penelitian yang dipublikasikan pada 7 Oktober 2026, tim Frontier Offensive Research & Generative Exploitation atau FORGE Lab menjelaskan bahwa kemampuan AI menemukan kerentanan kini berkembang semakin cepat. Namun, penemuan tersebut belum tentu langsung menghasilkan perbaikan yang dapat diterapkan secara aman. Proses validasi, penentuan prioritas, koordinasi dengan pengembang, dan pengujian pembaruan justru menjadi tantangan berikutnya. Riset ini menunjukkan bahwa keberhasilan keamanan siber berbasis AI tidak cukup diukur melalui banyaknya celah yang ditemukan, tetapi juga melalui efektivitas penanganannya.
Riset Microsoft Mengungkap Perubahan Penting dalam Teknologi Keamanan AI
Kajian terkini dari tim keamanan Microsoft mengungkapkan bahwa perkembangan teknologi kecerdasan buatan semakin memengaruhi proses penelitian celah keamanan. Dalam kegiatan Frontier Offensive Research & Generative Exploitation Lab, Microsoft mengembangkan sistem agen keamanan otomatis yang mampu memeriksa kode sumber dalam jumlah besar. Dibandingkan dengan pemeriksaan yang hanya mengandalkan aturan tetap, sistem berbasis AI dapat membantu menalar hubungan antarbagian kode. Inovasi tersebut membuka peluang untuk membantu peneliti mengidentifikasi masalah sebelum dimanfaatkan penyerang. Namun demikian, hasil analisis AI tetap memerlukan pembuktian sebelum diproses untuk perbaikan.
Dalam laporan yang diterbitkan pada 7 Oktober 2026, Microsoft mengidentifikasi tiga perubahan penting dalam penelitian keamanan berbasis AI. Perubahan pertama adalah kebutuhan memperluas pemindaian tanpa mengurangi kualitas. Aspek selanjutnya berkaitan dengan efisiensi biaya penalaran AI. Sementara itu, tantangan berikutnya adalah pembentukan alur pemeriksaan berkelanjutan. Ketiga aspek tersebut menegaskan bahwa kualitas penelitian kerentanan tidak hanya bergantung pada kecepatan pemindaian. Dengan kata lain, organisasi perlu memastikan apakah laporan dapat dibuktikan secara aman.
Hasil Penelitian MDASH terhadap Keamanan Windows dan Open Source
Sistem yang digunakan dalam penelitian Microsoft adalah MDASH, yaitu sistem analisis kerentanan dengan banyak agen. Pendekatan MDASH dirancang untuk menggabungkan berbagai komponen analisis otomatis dalam rangkaian pengujian keamanan. Dengan sistem tersebut, bagian sistem dapat menganalisis kode yang berpotensi bermasalah. Sementara itu, komponen tambahan bisa menyiapkan bukti pengujian. Strategi penggunaan beberapa agen berpotensi memperluas efisiensi pemeriksaan kode. Namun demikian, peneliti manusia tetap diperlukan untuk memastikan ketepatan laporan.
Menurut hasil yang dipaparkan Microsoft, penggunaan sistem tersebut mendukung pengungkapan kerentanan Windows yang mencapai 140 CVE dalam periode Mei hingga September 2026. Dari jumlah tersebut, sebanyak 52 CVE ditangani dalam pembaruan keamanan September. Tidak hanya mempelajari komponen Windows, anggota FORGE juga mengirimkan 155 laporan yang mendapatkan validasi awal pada 23 proyek perangkat lunak sumber terbuka. Target pemeriksaan ini melibatkan proyek dengan penggunaan luas. Data yang dipublikasikan memberikan bukti aktivitas penelitian keamanan berbasis AI, tetapi tidak menunjukkan seluruh masalah telah selesai diperbaiki. Temuan yang diterima tetap membutuhkan verifikasi lanjutan sesuai aturan proyek.
Mengapa Laporan Kerentanan AI Tidak Selalu Langsung Dapat Diperbaiki
Masalah penting dalam penggunaan teknologi pemindaian cerdas adalah membedakan kerentanan nyata dari dugaan keliru. Agen penelitian otomatis dapat menghasilkan dugaan kelemahan dengan penjelasan terperinci meskipun perilaku program tidak menunjukkan kerentanan. Kondisi tersebut dapat menghasilkan false positive sehingga proses pemeriksaan menjadi lebih panjang. Selain itu, laporan duplikat berpotensi membebani proses triase. Dengan mempertimbangkan risiko tersebut, organisasi perlu mengutamakan temuan yang telah melalui validasi daripada mengandalkan banyaknya dugaan kelemahan.
Tim FORGE menggarisbawahi bahwa kemampuan menghasilkan laporan otomatis perlu disertai proses validasi yang memadai. Ketika melakukan evaluasi perangkat lunak, temuan yang dianggap penting biasanya sebaiknya dikonfirmasi melalui sistem reproduksi yang sesuai. Dalam situasi sederhana, laporan kesalahan pengelolaan memori sebaiknya menyertakan hasil pengujian yang dapat diulang. Jika masalah tidak dapat direproduksi, peneliti harus meninjau ulang asumsi AI. Langkah validasi semacam ini membantu menghindari penggunaan sumber daya secara berlebihan. Melalui proses ini, kualitas temuan dapat meningkat.
Mengukur Kinerja AI melalui Biaya Pengujian Kerentanan
Tidak hanya berkaitan dengan validasi, Microsoft juga menyoroti pengeluaran untuk penalaran otomatis ketika sistem diterapkan dalam skala besar. Konsep reasoning economics perlu dipertimbangkan karena pengujian otomatis mengonsumsi waktu dan kapasitas. Berdasarkan pengukuran tim keamanan, MDASH mengidentifikasi ribuan lokasi mencurigakan pada kernel Linux dan menyiapkan hasil validasi untuk 627 temuan. Dalam sebagian pengujian itu, Microsoft menilai biaya pembuatan bukti konsep. Evaluasi biaya ini membantu menentukan apakah hasil pengujian sebanding dengan biaya. Dengan pendekatan ini, organisasi dapat mempertimbangkan efektivitas penggunaan model secara lebih rasional.
Pada kelompok kasus yang berhasil divalidasi, Microsoft melaporkan bahwa pembuatan proof of concept untuk 182 temuan crash yang terkonfirmasi membutuhkan rata-rata biaya model sebesar 3,61 dolar AS dengan waktu rata-rata 21,5 menit. Untuk evaluasi tambahan, enam kasus terpilih yang diperiksa potensi peningkatan hak akses lokalnya membutuhkan rata-rata biaya 8,56 dolar AS dan durasi rata-rata 25,4 menit. Perlu dipahami, hasil evaluasi tersebut tidak mencakup seluruh pengeluaran seperti pemeriksaan awal. Untuk membaca data secara tepat, angka tersebut perlu ditafsirkan sebagai pengukuran terbatas pada kasus tertentu, bukan patokan mutlak pengeluaran keamanan.
Pentingnya Koordinasi Pengembang dalam Menangani Celah Open Source
Penelitian FORGE Lab memberikan gambaran bahwa pendeteksian kerentanan merupakan bagian dari proses keamanan. Setelah masalah ditemukan, peneliti bersama pemelihara proyek perlu menentukan dampak terhadap sistem. Pada pengembangan perangkat lunak open source, kerja sama antartim memiliki peran utama karena prosedur penerimaan perbaikan tidak selalu sama. Sebagian kerentanan perlu ditangani sebelum diumumkan kepada publik. Selain itu, perbaikan perangkat lunak harus melalui pemeriksaan kompatibilitas. Melalui pendekatan menyeluruh, penelitian keamanan dapat menghasilkan perlindungan nyata bagi komunitas pengembang.
Untuk memperluas kerja sama penelitian, Microsoft turut mendukung Akrites, yaitu program koordinasi keamanan dari Linux Foundation yang bertujuan membantu penanganan celah pada proyek penting. Dalam kegiatan Akrites, tim FORGE melaporkan sembilan temuan Linux yang dinilai memiliki skor CVSS internal lebih tinggi dari 7,0. Satu dari temuan yang disampaikan berhasil menghasilkan pembaruan kode pertama melalui jalur Akrites yang diterima dalam kode kernel Linux. Perkembangan tersebut menjadi contoh nyata proses perbaikan setelah validasi. Dalam pengembangan berikutnya, pengembang harus mempertimbangkan mekanisme validasi yang konsisten agar jumlah laporan tidak melampaui kapasitas penanganan.
Pentingnya Validasi dan Perbaikan dalam Penelitian Kerentanan Modern
Riset keamanan Microsoft menunjukkan bahwa kemampuan AI generatif semakin berperan penting dalam menemukan kelemahan kode. Melalui sistem MDASH, Microsoft berhasil meningkatkan skala penelitian pada Windows dan berbagai proyek open source. Walaupun hasil penelitian menjanjikan, volume laporan tidak otomatis menentukan keamanan. Pemeriksaan bukti teknis, pengelolaan biaya komputasi, serta pengawasan proses remediasi tetap memiliki peran penting. Berkat kerja sama antara otomatisasi penelitian dan koordinasi pengembang, organisasi berpotensi meningkatkan kualitas pengelolaan kerentanan. Bagaimana pendapat Anda, apakah AI akan semakin berperan dalam keamanan siber? Silakan bagikan pendapat Anda mengenai pentingnya validasi dalam riset keamanan.
