Microsoft mengungkap tantangan baru dalam pemanfaatan teknologi kecerdasan buatan untuk mendeteksi dan memperbaiki celah keamanan perangkat lunak. Melalui penelitian yang dipublikasikan pada 7 Oktober 2026, tim Frontier Offensive Research & Generative Exploitation atau FORGE Lab menjelaskan bahwa kemampuan AI menemukan kerentanan kini berkembang semakin cepat. Namun, penemuan tersebut belum tentu langsung menghasilkan perbaikan yang dapat diterapkan secara aman. Proses validasi, penentuan prioritas, koordinasi dengan pengembang, dan pengujian pembaruan justru menjadi tantangan berikutnya. Riset ini menunjukkan bahwa keberhasilan keamanan siber berbasis AI tidak cukup diukur melalui banyaknya celah yang ditemukan, tetapi juga melalui efektivitas penanganannya.
Perkembangan Teknologi Kecerdasan Buatan untuk Penelitian Kerentanan Siber
Riset yang dilakukan Microsoft Security menunjukkan bahwa peningkatan kemampuan model AI semakin memengaruhi proses penelitian celah keamanan. Dalam kegiatan Frontier Offensive Research & Generative Exploitation Lab, Microsoft mengembangkan pendekatan penelitian keamanan berbasis agen yang dapat menelusuri berbagai komponen perangkat lunak. Tidak seperti pemindaian berbasis pola sederhana, sistem berbasis AI berpotensi memahami alur eksekusi program. Kemampuan tersebut memberikan kesempatan untuk memperluas cakupan pengujian sebelum menyebabkan gangguan keamanan. Meskipun potensinya besar, laporan yang dihasilkan model tetap memerlukan pembuktian sebelum ditetapkan sebagai masalah keamanan.
Berdasarkan pemaparan FORGE Lab, Microsoft mengidentifikasi tiga perubahan penting dalam pendeteksian kerentanan otomatis. Tantangan pertama adalah upaya mengubah kemampuan eksperimen menjadi proses yang konsisten. Aspek selanjutnya berkaitan dengan perhitungan biaya penggunaan model. Adapun, perubahan ketiga adalah integrasi penemuan dengan proses penanganan. Rangkaian tantangan ini menggambarkan bahwa kualitas penelitian kerentanan tidak semata-mata ditentukan kemampuan model. Dengan kata lain, organisasi perlu memastikan apakah kerentanan bisa diperbaiki secara aman.
Hasil Penelitian MDASH terhadap Keamanan Windows dan Open Source
Salah satu teknologi utama dalam penelitian Microsoft adalah MDASH, yaitu sistem analisis kerentanan dengan banyak agen. Sistem penelitian ini dikembangkan guna mengoordinasikan sejumlah agen dengan tugas berbeda dalam satu alur pemeriksaan. Dengan sistem tersebut, sebagian komponen dapat menelusuri kode yang berpotensi bermasalah. Sementara itu, agen lainnya dapat membantu melakukan validasi. Pembagian pekerjaan ini bertujuan meningkatkan efisiensi pemeriksaan kode. Meskipun beberapa tahapan dapat dijalankan AI, peneliti manusia tetap diperlukan untuk menentukan dampak.
Berdasarkan penelitian FORGE Lab, penggunaan sistem tersebut berkontribusi pada penemuan kerentanan Windows yang mencapai 140 CVE dalam masa penelitian dari Mei sampai September 2026. Dalam rangkaian pembaruan tersebut, sebanyak 52 CVE masuk dalam rilis perbaikan September 2026. Di luar pemeriksaan sistem operasi Microsoft, anggota FORGE turut menghasilkan 155 laporan yang telah divalidasi secara internal pada 23 proyek perangkat lunak sumber terbuka. Target pemeriksaan ini menyertakan proyek dengan penggunaan luas. Pencapaian penelitian ini memberikan bukti aktivitas penelitian keamanan berbasis AI, tetapi tidak menunjukkan seluruh masalah telah selesai diperbaiki. Setiap laporan tetap memerlukan proses penanganan sesuai aturan proyek.
Pentingnya Pemeriksaan Hasil Pendeteksian Celah Perangkat Lunak
Hambatan utama dalam penggunaan teknologi pemindaian cerdas adalah membuktikan bahwa laporan menunjukkan masalah keamanan sebenarnya. Sistem AI berpotensi menyusun laporan yang terlihat meyakinkan meskipun bukti teknisnya belum cukup. Situasi semacam ini dapat menghasilkan false positive sehingga proses pemeriksaan menjadi lebih panjang. Di samping laporan yang keliru, temuan yang berulang juga dapat memenuhi antrean. Untuk meningkatkan kualitas, tim keamanan harus memprioritaskan kerentanan yang dapat direproduksi daripada sekadar meningkatkan jumlah laporan.
Microsoft menekankan bahwa kemampuan menghasilkan laporan otomatis perlu disertai pengujian bukti teknis. Pada kegiatan penelitian profesional, indikasi kelemahan yang serius biasanya sebaiknya dikonfirmasi melalui lingkungan pengujian terkontrol. Untuk memberikan gambaran, indikasi kerusakan memori sebaiknya menyertakan hasil pengujian yang dapat diulang. Ketika pengujian belum mendukung laporan, peneliti harus meninjau ulang asumsi AI. Langkah validasi semacam ini dapat membatasi penggunaan sumber daya secara berlebihan. Berkat validasi yang konsisten, hasil penelitian menjadi lebih dapat dipercaya.
Mengukur Kinerja AI melalui Biaya Pengujian Kerentanan
Selain ketepatan hasil, Microsoft juga menyoroti biaya penggunaan AI ketika penelitian mencakup banyak proyek. Pendekatan ekonomi penalaran menjadi penting karena pengujian otomatis mengonsumsi waktu dan kapasitas. Dalam evaluasi FORGE Lab, MDASH mengidentifikasi ribuan lokasi mencurigakan pada kernel Linux dan menghasilkan bukti pendukung untuk 627 temuan. Dari aktivitas tersebut, Microsoft mengukur kebutuhan model dalam pengujian otomatis. Evaluasi biaya ini digunakan untuk menilai apakah otomatisasi benar-benar efisien. Berkat evaluasi sumber daya, tim keamanan memiliki dasar menilai kebutuhan pemeriksaan lanjutan secara lebih sistematis.
Dalam pengujian tertentu, Microsoft mencatat bahwa pembuatan proof of concept untuk 182 temuan crash yang terkonfirmasi membutuhkan rata-rata biaya model sebesar 3,61 dolar AS dengan durasi pemrosesan sekitar 21,5 menit. Di sisi pengujian berbeda, enam kasus terpilih yang diuji kemungkinan local privilege escalation tercatat menggunakan biaya model rata-rata 8,56 dolar AS dan waktu sekitar 25,4 menit. Perlu dipahami, hasil evaluasi tersebut tidak mencakup seluruh pengeluaran seperti persiapan perbaikan. Untuk membaca data secara tepat, informasi biaya harus dilihat sebagai hasil eksperimen dengan ruang lingkup khusus, bukan jaminan biaya untuk semua proyek.
Masa Depan Teknologi Keamanan Microsoft melalui Validasi Berkelanjutan
Riset keamanan Microsoft memberikan gambaran bahwa penemuan celah hanyalah tahap awal. Ketika kerentanan berhasil diidentifikasi, pengembang perlu memahami langkah perbaikan yang sesuai. Dalam proyek sumber terbuka, proses koordinasi menjadi sangat penting karena setiap proyek memiliki aturan pelaporan berbeda. Beberapa masalah keamanan dapat memerlukan pengungkapan terkoordinasi. Di samping prosedur pelaporan, pembaruan kode sumber harus diuji untuk menghindari regresi. Dengan demikian, hasil analisis otomatis dapat memberikan dampak positif bagi organisasi yang menggunakan sistem tersebut.
Sebagai bagian dari pengembangan tersebut, Microsoft berkontribusi terhadap Akrites, yaitu inisiatif Linux Foundation yang bertujuan membantu proses perbaikan masalah keamanan sumber terbuka. Berkat mekanisme koordinasi ini, tim FORGE menyampaikan sembilan temuan Linux yang memiliki penilaian internal CVSS di atas 7,0. Satu dari temuan yang disampaikan tercatat sebagai laporan pertama melalui Akrites dengan perbaikan diterima yang masuk ke proyek kernel Linux. Perkembangan tersebut menjadi contoh nyata proses perbaikan setelah validasi. Seiring meningkatnya kemampuan AI, pengembang harus mempertimbangkan sistem penanganan kerentanan terpadu agar temuan penting memperoleh prioritas.
Pentingnya Validasi dan Perbaikan dalam Penelitian Kerentanan Modern
Riset keamanan Microsoft menunjukkan bahwa kemampuan AI generatif semakin berperan penting dalam menemukan kelemahan kode. Berkat penerapan teknologi analisis otomatis, Microsoft mengembangkan pendekatan pendeteksian berkapasitas besar pada sejumlah sistem perangkat lunak penting. Walaupun hasil penelitian menjanjikan, volume laporan tidak otomatis menentukan keamanan. Validasi temuan, efisiensi penggunaan sumber daya, serta penerapan patch yang aman tetap harus diperhatikan. Dengan menggabungkan otomatisasi penelitian dan pengawasan profesional, organisasi berpotensi meningkatkan kualitas pengelolaan kerentanan. Dari sudut pandang Anda, apakah otomatisasi pendeteksian celah akan menjadi kebutuhan utama? Silakan bagikan pendapat Anda mengenai pentingnya validasi dalam riset keamanan.
