Microsoft mengungkap tantangan baru dalam pemanfaatan teknologi kecerdasan buatan untuk mendeteksi dan memperbaiki celah keamanan perangkat lunak. Melalui penelitian yang dipublikasikan pada 7 Oktober 2026, tim Frontier Offensive Research & Generative Exploitation atau FORGE Lab menjelaskan bahwa kemampuan AI menemukan kerentanan kini berkembang semakin cepat. Namun, penemuan tersebut belum tentu langsung menghasilkan perbaikan yang dapat diterapkan secara aman. Proses validasi, penentuan prioritas, koordinasi dengan pengembang, dan pengujian pembaruan justru menjadi tantangan berikutnya. Riset ini menunjukkan bahwa keberhasilan keamanan siber berbasis AI tidak cukup diukur melalui banyaknya celah yang ditemukan, tetapi juga melalui efektivitas penanganannya.
Riset Microsoft Mengungkap Perubahan Penting dalam Teknologi Keamanan AI
Kajian terkini dari tim keamanan Microsoft mengungkapkan bahwa kemajuan sistem AI generatif mendorong perubahan pada cara kerentanan perangkat lunak ditemukan. Melalui FORGE Lab, Microsoft menerapkan pendekatan penelitian keamanan berbasis agen yang mampu memeriksa berbagai komponen perangkat lunak. Dibandingkan dengan pemeriksaan yang hanya mengandalkan aturan tetap, sistem berbasis AI dapat membantu menalar hubungan antarbagian kode. Pendekatan ini membuka peluang untuk memperluas cakupan pengujian sebelum menyebabkan gangguan keamanan. Meskipun potensinya besar, temuan otomatis tetap harus melalui validasi sebelum ditetapkan sebagai masalah keamanan.
Melalui publikasi penelitian Oktober 2026, Microsoft menjelaskan tiga tantangan utama dalam pendeteksian kerentanan otomatis. Tantangan pertama adalah kebutuhan memperluas pemindaian tanpa mengurangi kualitas. Aspek selanjutnya berkaitan dengan efisiensi biaya penalaran AI. Pada bagian terakhir, perubahan ketiga adalah integrasi penemuan dengan proses penanganan. Rangkaian tantangan ini menegaskan bahwa keberhasilan keamanan siber tidak cukup dinilai melalui jumlah temuan. Dengan kata lain, organisasi perlu memastikan apakah kerentanan bisa diperbaiki secara konsisten.
Hasil Penelitian MDASH terhadap Keamanan Windows dan Open Source
Salah satu teknologi utama dalam penelitian Microsoft adalah MDASH, yaitu sistem analisis kerentanan dengan banyak agen. Sistem penelitian ini dirancang untuk menggabungkan sejumlah agen dengan tugas berbeda dalam rangkaian pengujian keamanan. Melalui pendekatan tersebut, sebagian komponen dapat menelusuri lokasi program yang mencurigakan. Di sisi lain, komponen tambahan bisa menyiapkan bukti pengujian. Arsitektur tersebut bertujuan meningkatkan efisiensi pemeriksaan kode. Namun demikian, validasi oleh tim keamanan tetap dibutuhkan untuk menafsirkan hasil.
Berdasarkan penelitian FORGE Lab, penggunaan sistem tersebut membantu identifikasi kerentanan Windows yang tercatat sebanyak 140 CVE dalam masa penelitian dari Mei sampai September 2026. Dalam rangkaian pembaruan tersebut, sebanyak 52 CVE masuk dalam rilis perbaikan September 2026. Di luar pemeriksaan sistem operasi Microsoft, anggota FORGE menyampaikan 155 laporan yang melalui pemeriksaan internal pada 23 proyek perangkat lunak sumber terbuka. Lingkup penelitian tersebut mencakup sejumlah komponen open source penting. Data yang dipublikasikan menunjukkan peningkatan skala keamanan berbasis AI, tetapi bukan bukti bahwa semua temuan telah diumumkan. Temuan yang diterima tetap memerlukan proses penanganan sesuai tingkat risiko.
Tantangan Validasi Temuan AI dalam Penelitian Keamanan Microsoft
Masalah penting dalam penelitian kerentanan otomatis adalah membuktikan bahwa laporan menunjukkan masalah keamanan sebenarnya. Sistem AI mungkin memberikan dugaan kelemahan dengan penjelasan terperinci meskipun perilaku program tidak menunjukkan kerentanan. Kondisi tersebut berpotensi menimbulkan laporan positif palsu sehingga waktu peneliti terbuang. Selain itu, laporan duplikat mungkin memperlambat penanganan masalah penting. Oleh karena itu, organisasi perlu mengutamakan kerentanan yang dapat direproduksi daripada hanya mengejar volume pemindaian.
Tim FORGE menggarisbawahi bahwa kemampuan menghasilkan laporan otomatis harus diimbangi dengan proses validasi yang memadai. Ketika melakukan evaluasi perangkat lunak, temuan yang dianggap penting biasanya harus diuji melalui lingkungan pengujian terkontrol. Dalam situasi sederhana, laporan kesalahan pengelolaan memori perlu menunjukkan kondisi yang dapat memicu masalah. Ketika pengujian belum mendukung laporan, tim keamanan mungkin perlu melakukan investigasi tambahan. Pendekatan tersebut dapat membatasi penggunaan sumber daya secara berlebihan. Melalui proses ini, penanganan celah berlangsung lebih terarah.
Efisiensi Biaya dan Otomatisasi Validasi dalam Riset Keamanan Microsoft
Tidak hanya berkaitan dengan validasi, Microsoft turut membahas efisiensi komputasi model ketika penelitian mencakup banyak proyek. Pendekatan ekonomi penalaran memiliki peran utama karena penggunaan model memiliki biaya komputasi. Dalam evaluasi FORGE Lab, MDASH menandai ribuan lokasi mencurigakan pada kernel Linux dan mengumpulkan informasi pengujian untuk 627 temuan. Dari aktivitas tersebut, Microsoft mengukur pengeluaran komputasi untuk proof of concept. Pengukuran tersebut digunakan untuk menilai apakah otomatisasi benar-benar efisien. Melalui analisis ekonomi tersebut, tim keamanan memiliki dasar menilai efektivitas penggunaan model secara lebih terukur.
Berdasarkan subset evaluasi yang dipublikasikan, Microsoft mengungkapkan bahwa pembuatan proof of concept untuk 182 temuan crash yang terkonfirmasi membutuhkan rata-rata biaya model sebesar 3,61 dolar AS dengan waktu rata-rata 21,5 menit. Sementara itu, enam kasus terpilih yang diuji kemungkinan local privilege escalation tercatat menggunakan biaya model rata-rata 8,56 dolar AS dan lama pemrosesan sekitar 25,4 menit. Perlu dipahami, angka biaya tersebut tidak mencakup seluruh pengeluaran seperti persiapan perbaikan. Untuk membaca data secara tepat, informasi biaya harus dilihat sebagai pengukuran terbatas pada kasus tertentu, bukan jaminan biaya untuk semua proyek.
Pentingnya Koordinasi Pengembang dalam Menangani Celah Open Source
Penelitian FORGE Lab memberikan gambaran bahwa penemuan celah hanyalah tahap awal. Sesudah laporan dinyatakan valid, pengembang perlu memahami dampak terhadap sistem. Pada pengembangan perangkat lunak open source, komunikasi dengan maintainer perlu diperhatikan karena prosedur penerimaan perbaikan tidak selalu sama. Sebagian kerentanan mungkin membutuhkan laporan privat. Selain itu, penerapan patch harus diuji untuk menghindari regresi. Melalui pendekatan menyeluruh, temuan AI berpotensi berubah menjadi perbaikan bermanfaat bagi organisasi yang menggunakan sistem tersebut.
Sebagai bagian dari pengembangan tersebut, Microsoft juga berpartisipasi dalam Akrites, yaitu inisiatif Linux Foundation yang berfokus pada proses perbaikan masalah keamanan sumber terbuka. Dalam kegiatan Akrites, tim FORGE melaporkan sembilan temuan Linux yang mendapatkan skor kerentanan internal melampaui 7,0. Salah satu laporan tersebut tercatat sebagai laporan pertama melalui Akrites dengan perbaikan diterima yang diterima dalam kode kernel Linux. Perkembangan tersebut menjadi contoh nyata koordinasi antara peneliti dan pengembang. Dalam pengembangan berikutnya, organisasi perlu membangun sistem penanganan kerentanan terpadu agar jumlah laporan tidak melampaui kapasitas penanganan.
Pentingnya Validasi dan Perbaikan dalam Penelitian Kerentanan Modern
Riset keamanan Microsoft menunjukkan bahwa sistem penelitian berbasis agen membuka peluang besar dalam mendeteksi kerentanan perangkat lunak. Melalui sistem MDASH, Microsoft berhasil meningkatkan skala penelitian pada beragam lingkungan pengembangan. Meskipun jumlah temuan meningkat, kecepatan pemindaian bukan satu-satunya ukuran keberhasilan. Konfirmasi kerentanan, pengelolaan biaya komputasi, serta penerapan patch yang aman tetap memiliki peran penting. Dengan menggabungkan otomatisasi penelitian dan koordinasi pengembang, pengembang memiliki kesempatan memperbaiki kualitas pengelolaan kerentanan. Dari sudut pandang Anda, apakah otomatisasi pendeteksian celah akan menjadi kebutuhan utama? Silakan bagikan pendapat Anda mengenai pentingnya validasi dalam riset keamanan.
