Microsoft mengungkap tantangan baru dalam pemanfaatan teknologi kecerdasan buatan untuk mendeteksi dan memperbaiki celah keamanan perangkat lunak. Melalui penelitian yang dipublikasikan pada 7 Oktober 2026, tim Frontier Offensive Research & Generative Exploitation atau FORGE Lab menjelaskan bahwa kemampuan AI menemukan kerentanan kini berkembang semakin cepat. Namun, penemuan tersebut belum tentu langsung menghasilkan perbaikan yang dapat diterapkan secara aman. Proses validasi, penentuan prioritas, koordinasi dengan pengembang, dan pengujian pembaruan justru menjadi tantangan berikutnya. Riset ini menunjukkan bahwa keberhasilan keamanan siber berbasis AI tidak cukup diukur melalui banyaknya celah yang ditemukan, tetapi juga melalui efektivitas penanganannya.
Perkembangan Teknologi Kecerdasan Buatan untuk Penelitian Kerentanan Siber
Kajian terkini dari tim keamanan Microsoft memperlihatkan bahwa kemajuan sistem AI generatif mendorong perubahan pada proses penelitian celah keamanan. Melalui FORGE Lab, Microsoft mengembangkan teknologi AI untuk analisis kerentanan yang mampu memeriksa berbagai komponen perangkat lunak. Dibandingkan dengan pendekatan pencarian kesalahan konvensional, sistem berbasis AI dapat membantu menalar hubungan antarbagian kode. Kemampuan tersebut membuka peluang untuk membantu peneliti mengidentifikasi masalah sebelum menjadi ancaman yang lebih besar. Namun demikian, laporan yang dihasilkan model tetap memerlukan pembuktian sebelum ditetapkan sebagai masalah keamanan.
Melalui publikasi penelitian Oktober 2026, Microsoft merangkum tiga arah perkembangan dalam penelitian keamanan berbasis AI. Aspek awal adalah upaya mengubah kemampuan eksperimen menjadi proses yang konsisten. Tantangan berikutnya berkaitan dengan efisiensi biaya penalaran AI. Pada bagian terakhir, tantangan berikutnya adalah penggabungan validasi dan perbaikan. Ketiga aspek tersebut menegaskan bahwa efektivitas perlindungan perangkat lunak tidak hanya bergantung pada kecepatan pemindaian. Dalam praktiknya, organisasi perlu memastikan apakah pembaruan berhasil diterapkan secara bertanggung jawab.
Cara Kerja Teknologi AI Microsoft dalam Menganalisis Kerentanan
Sistem yang digunakan dalam penelitian Microsoft adalah MDASH, yaitu kerangka pemindaian berbasis beberapa model AI. Teknologi tersebut memungkinkan penggunaan beberapa model kecerdasan buatan dalam satu alur pemeriksaan. Dengan sistem tersebut, sebagian komponen dapat menelusuri lokasi program yang mencurigakan. Pada tahapan berbeda, agen lainnya dapat membantu melakukan validasi. Arsitektur tersebut berpotensi memperluas cakupan penelitian keamanan. Namun demikian, pengawasan profesional masih penting untuk memastikan ketepatan laporan.
Dalam evaluasi keamanan yang diumumkan, penggunaan sistem tersebut membantu identifikasi kerentanan Windows yang mencapai 140 CVE dalam masa penelitian dari Mei sampai September 2026. Dalam rangkaian pembaruan tersebut, sebanyak 52 CVE masuk dalam rilis perbaikan September 2026. Tidak hanya mempelajari komponen Windows, anggota FORGE juga mengirimkan 155 laporan yang melalui pemeriksaan internal pada 23 proyek perangkat lunak sumber terbuka. Target pemeriksaan ini mencakup proyek dengan penggunaan luas. Hasil tersebut menunjukkan peningkatan skala keamanan berbasis AI, tetapi bukan bukti bahwa semua temuan telah diumumkan. Setiap laporan tetap memerlukan proses penanganan sesuai aturan proyek.
Tantangan Validasi Temuan AI dalam Penelitian Keamanan Microsoft
Hambatan utama dalam penggunaan teknologi pemindaian cerdas adalah memastikan setiap temuan benar-benar valid. Sistem AI mungkin memberikan laporan yang terlihat meyakinkan meskipun masalah sebenarnya belum terbukti. Kondisi tersebut mungkin menyebabkan temuan yang tidak terbukti sehingga beban kerja tim keamanan meningkat. Selain itu, temuan yang berulang juga dapat memenuhi antrean. Oleh karena itu, tim keamanan harus memprioritaskan kerentanan yang dapat direproduksi daripada mengandalkan banyaknya dugaan kelemahan.
Dalam penelitiannya Microsoft menjelaskan bahwa volume pemeriksaan menggunakan AI harus diimbangi dengan proses validasi yang memadai. Pada kegiatan penelitian profesional, laporan yang berpotensi berdampak biasanya sebaiknya dikonfirmasi melalui sistem reproduksi yang sesuai. Untuk memberikan gambaran, indikasi kerusakan memori perlu menunjukkan bukti perilaku program. Apabila bukti tidak tersedia, tim keamanan mungkin perlu melakukan investigasi tambahan. Pendekatan tersebut dapat membatasi kesalahan prioritas. Berkat validasi yang konsisten, kualitas temuan dapat meningkat.
Tantangan Penggunaan Sumber Daya dalam Teknologi Pendeteksi Celah
Di samping kualitas laporan, Microsoft juga menyoroti efisiensi komputasi model ketika penelitian mencakup banyak proyek. Konsep reasoning economics memiliki peran utama karena penggunaan model memiliki biaya komputasi. Melalui penelitian tersebut, MDASH menemukan ribuan lokasi mencurigakan pada kernel Linux dan menghasilkan bukti pendukung untuk 627 temuan. Pada kelompok evaluasi yang dipublikasikan, Microsoft menilai kebutuhan model dalam pengujian otomatis. Pengukuran tersebut membantu menentukan apakah hasil pengujian sebanding dengan biaya. Berkat evaluasi sumber daya, pengembang bisa mengevaluasi efektivitas penggunaan model secara lebih sistematis.
Dalam pengujian tertentu, Microsoft melaporkan bahwa pembuatan proof of concept untuk 182 temuan crash yang terkonfirmasi menghasilkan pengeluaran model sekitar 3,61 dolar AS per kasus dengan waktu rata-rata 21,5 menit. Untuk evaluasi tambahan, enam kasus terpilih yang dianalisis untuk menilai risiko eskalasi privilese memiliki pengeluaran model sekitar 8,56 dolar AS dan lama pemrosesan sekitar 25,4 menit. Perlu dipahami, pengukuran performa itu tidak mencakup seluruh pengeluaran seperti investigasi manusia. Untuk membaca data secara tepat, informasi biaya harus dilihat sebagai pengukuran terbatas pada kasus tertentu, bukan jaminan biaya untuk semua proyek.
Pentingnya Koordinasi Pengembang dalam Menangani Celah Open Source
Evaluasi kerentanan berbasis AI tersebut memberikan gambaran bahwa pendeteksian kerentanan merupakan bagian dari proses keamanan. Sesudah laporan dinyatakan valid, peneliti bersama pemelihara proyek perlu menentukan langkah perbaikan yang sesuai. Ketika menangani komponen publik, kerja sama antartim memiliki peran utama karena setiap proyek memiliki aturan pelaporan berbeda. Temuan tertentu perlu ditangani sebelum diumumkan kepada publik. Selain itu, penerapan patch harus melalui pemeriksaan kompatibilitas. Melalui pendekatan menyeluruh, penelitian keamanan dapat menghasilkan perlindungan nyata bagi komunitas pengembang.
Sebagai bagian dari pengembangan tersebut, Microsoft juga berpartisipasi dalam Akrites, yaitu program koordinasi keamanan dari Linux Foundation yang bertujuan membantu penanganan celah pada proyek penting. Dalam kegiatan Akrites, tim FORGE melaporkan sembilan temuan Linux yang dinilai memiliki skor CVSS internal lebih tinggi dari 7,0. Salah satu laporan tersebut berhasil menghasilkan pembaruan kode pertama melalui jalur Akrites yang digabungkan ke kernel Linux. Hasil kolaborasi tersebut memperlihatkan manfaat proses perbaikan setelah validasi. Ke depan, tim keamanan sebaiknya memperkuat sistem penanganan kerentanan terpadu agar temuan penting memperoleh prioritas.
Pentingnya Validasi dan Perbaikan dalam Penelitian Kerentanan Modern
Riset keamanan Microsoft menunjukkan bahwa sistem penelitian berbasis agen membuka peluang besar dalam mendeteksi kerentanan perangkat lunak. Melalui sistem MDASH, Microsoft menunjukkan kemampuan pemeriksaan yang lebih luas pada sejumlah sistem perangkat lunak penting. Namun demikian, tantangan utamanya bukan hanya menemukan celah. Konfirmasi kerentanan, pengelolaan biaya komputasi, serta penerapan patch yang aman tetap harus diperhatikan. Berkat kerja sama antara kemampuan analisis AI dan koordinasi pengembang, organisasi berpotensi meningkatkan efektivitas perlindungan sistem. Bagaimana pendapat Anda, apakah otomatisasi pendeteksian celah akan menjadi kebutuhan utama? Silakan bagikan pendapat Anda mengenai pentingnya validasi dalam riset keamanan.
